一个广泛流传的PHP漏洞引起了关注，但作者认为它远非易于利用。尽管GitHub上有数千个概念验证（proof-of-concept）利用代码，作者发现，当直接在Docker中运行原版PHP实例时，这些代码没有一个能够生效。
作者将此漏洞与Log4Shell、Heartbleed、Shellshock以及YAML解码问题等臭名昭著的漏洞进行了对比。这些漏洞在披露后数小时内就被僵尸网络迅速武器化。作者指出，大多数PHP概念验证代码都依赖本地文件包含（LFI），这意味着目标服务器中必须已经存在另一个允许攻击者读取文件的漏洞。作者认为，这一前提条件使得该漏洞的严重性远低于新闻标题所暗示的程度。
作者还将夸大其词的说法归咎于AI工具。作者认为，许多人想当然地以为大型语言模型能够根据补丁差异立即构建出可用的利用链，而且部分概念验证代码似乎正是以这种方式生成的，有时甚至会修改测试服务器使其变得存在漏洞。
作者补充说，业界广泛依赖Claude和GPT等工具，正在导致整个行业的设计和判断决策趋于一致。尽管如此，作者强调该漏洞是真实存在且很重要的，而目前的证据并不能表明存在现成的、可广泛使用的利用代码。
来源: Hacker News · 由HeadlinesBriefing整理摘要