PHP 修复由 frontier models 协助发现的两项核心高危漏洞

2026-10-21已核实动态ADOPT

PHP 发布安全更新，修复两组可导致未授权远程代码执行或进程内存泄露的核心引擎漏洞。Wiz 报告称，frontier models 协助研究人员把存在多年的 memory-safety 缺陷推进为可在代表性 WordPress、Drupal 和 Joomla 环境运行的 exploit。漏洞位于 PHP 本身，受影响服务器需要升级 PHP。

官方 · 参考材料PHP2Shell: AI uncovers critical RCE vulnerabilities affecting 70% of the Internet 官方 · 参考材料PHP security releases for two critical vulnerabilities

对你意味着什么

对运行 PHP 或用 AI 做漏洞研究的团队来说，这既提高了立即打补丁的优先级，也改变了复杂 exploit 的开发成本。研究方标题中的“PHP 支撑 70% 网站”不等于“70% 互联网系统都可利用”；实际暴露取决于 PHP 版本、配置和部署方式。

构建 Agent →

证据与关联材料

支持证据

PHP 已发布关键安全更新；Wiz 报告 frontier models 协助把核心 memory-safety 缺陷推进为可工作的 exploit。

官方 · 参考材料PHP2Shell: AI uncovers critical RCE vulnerabilities affecting 70% of the Internet 官方 · 参考材料PHP security releases for two critical vulnerabilities 官方 · 参考材料Coordinated disclosure of critical vulnerabilities

技术细节与六维评分

漏洞	CVE-2026-109618 与 CVE-2026-109619；包含内存泄露与未授权 RCE 路径
修复版本	PHP 8.5.12、8.4.27、8.3.36、8.2.35
演示目标	代表性 WordPress、Drupal、Joomla 部署；缺陷位于 PHP core
AI 作用	Wiz 报告使用 Wiz Atlas、Gemini 4 Argon 与 GPT-5.6 Sol 协助发现、exploit 开发、检测和补丁验证
证据边界	AI 贡献与 exploitability 细节来自研究方；PHP 独立确认关键安全更新
时间依据	Wiz 于 2026-10-21T13:59:59Z 发布，位于 overlap 内但早于上次 checkpoint，属 late discovery

技术影响 5

工程价值 5

采用信号 5

成熟度 5

验证成本 1

风险 5