PHP 核心爆出 PHP2Shell 嚴重漏洞：AI 協助發現，未授權即可遠端執行程式碼，官方已發修補版

資安公司 Wiz Research 揭露 PHP 核心多個記憶體安全漏洞，統稱 PHP2Shell，依 CVE-2026-109618 與 CVE-2026-109619 兩個編號列管，多家來源引用的 CVSS v4.0 評分為 9.2。PHP 約支撐全球 69.3% 的網站（W3Techs 統計），WordPress、Drupal、Joomla 與 MediaWiki 都建構於其上。漏洞位於 PHP 引擎本身，即使應用程式碼無誤也會受影響。 漏洞成因是 PHP 處理請求時的致命錯誤（特別是記憶體耗盡）會在請求異常結束後留下損毀的內部狀態，後續請求或工作程序可能重用此狀態，導致記憶體洩露或破壞。未經驗證的攻擊者可讀取其他請求或伺服器本身的程序記憶體，其中可能含有密碼、身分驗證權杖、API 金鑰與憑證；部分情況下可遠端執行程式碼。Wiz 以 WordPress、Drupal、Joomla 作為示範目標，展示無需驗證即可達成 RCE，並強調利用不需要特定 CMS。Wiz 另指出，目前已追蹤的為四個可利用漏洞，另有其他可能的變體。 修補方面，PHP 於 10 月 21 日發布更新，修復版本包括 PHP 8.5.12、8.4.27、8.3.36 與 8.2.35。Wiz 稱，幾乎所有 PHP 版本都受影響，最早可追溯至 5.4；Cloudflare、Akamai、AWS、Fastly 等業者則提供無法立即升級者可用的防護與緩解方案。 關於 AI 的角色，Wiz 表示，此類利用鏈原本需要接近人類研究員能力極限的複雜步驟，前沿模型大幅降低門檻，使其能在數小時內針對多個應用開發可用的利用程式。來源對發現者的描述不一：OpenAI 與 Calif 稱 GPT-5.6 Sol 協助發現其中一項關鍵缺陷，The Decoder 則指 Gemini 4 Argon 對發現漏洞與開發利用最有幫助，Wiz 亦獨立發現並回報。OpenAI 另發布 PHP 版本檢查工具供維運人員使用，並承認同類 AI 能力也可能被攻擊者用來加速開發攻擊工具。 事件曾出現提前外洩。10 月 20 日 Hacker News 有貼文聲稱即將公布兩個 CVSS 10 分的 RCE 漏洞，時間為歐洲中部夏令時間 22 日，watchTowr 確認漏洞存在。Nextron Systems 研究員 Florian Roth 指其中一個核心 RCE 評分為 10 分，但正式公告與多數來源採 9.2 分，實際修補於 10 月 21 日發布。資安公司 Sansec 另指出，已有名為 PHP2Shell、號稱支援 PHP 5.4.0 以上版本的利用工具出現，其來源與實際效果尚未獨立驗證。