PHP2Shell是研究人员对PHP中两项严重漏洞的统称，编号为CVE-2026-109618和CVE-2026-109619。两者的CVSS 4.0评分均为9.2，可能导致远程代码执行：攻击者有机会在受影响的服务器上运行代码，而且不需要先登录。PHP项目于2026年10月21日发布紧急修复。 8910

这起事件也让AI辅助安全研究受到关注：Calif使用OpenAI的GPT-5.6 Sol发现了一项严重漏洞，Wiz则独立发现并报告了两项漏洞。不过，报道中提到的扫描或攻击尝试，并不等同于已经确认服务器遭到入侵。 202934

PHP2Shell可能造成什么影响？

这两项漏洞存在于PHP本身，而不是某个特定的网站平台或插件中。其中，CVE-2026-109618与PHP处理内存耗尽（out-of-memory）状况有关：当请求数据尚未完全初始化时，处理过程可能被中断。CVE-2026-109619则涉及一种内部状态在其背后占用的内存释放后仍继续存在的问题。两项漏洞都可能导致远程代码执行。 1026

两项漏洞的CVSS 4.0评分均为9.2，属于严重级别。风险之所以突出，在于攻击者可能无需身份验证，就从远端在受影响的服务器上运行代码。 910

AI辅助研究如何参与发现？

在OpenAI的“Patch the Planet”计划中，安全公司Calif使用GPT-5.6 Sol发现了一项严重漏洞。Wiz也独立发现并报告了两项漏洞；相关报道指出，其研究使用了Wiz Atlas，以及Gemini 4 Argon和GPT-5.6 Sol。 2029

关于最初发现的具体时间，报道说法并不完全一致：一则报道称Calif于8月1日发现漏洞，另一则称研究人员在8月11日向PHP报告了第一项漏洞。不过，两种说法都描述了研究人员在10月披露前与维护者进行协调的过程。 2030

需要区分的是，AI协助研究人员发现漏洞，并不能证明后续攻击是由自主AI执行的。现有报道没有证实存在由自主AI实施的攻击。

紧急修复与服务中断

PHP于10月21日发布了修复版本：8.2.35、8.3.36、8.4.27和8.5.12。这些版本号对应PHP上游项目的发布版本。Linux发行版可能会将修复回移到自身的软件包中，因此软件包版本号未必相同；管理员应同时查看所用发行版的安全公告，不能只凭版本号判断是否已修复。 827

漏洞披露后，一些网站运营者为评估风险而暂时关闭系统。报道称，欧洲及其他地区的政府网站在10月21日下线。 21 另有报道指出，漏洞细节泄露促使PHP将原定发布时间提前了一天。 2233

对于使用PHP的组织，首要事项是确认实际处理网站流量的PHP实例已安装供应商提供的修复，按要求完成更新，并遵循服务提供商关于重启或验证的指引。如果服务器由托管服务商管理，应向对方确认修复状态，不要只凭网站表面是否正常来判断。 824

有攻击尝试，不等于已确认入侵

据报道，Cloudflare和Patchstack在PHP于10月21日发布补丁前观察到针对漏洞的探测活动。一份后续安全报告称攻击尝试达数百万次；BBC则报道，截至10月22日，尚无已知的成功利用案例。这些信息足以说明应谨慎应对，但不能证明这些尝试造成了已确认的入侵。 2334

因此，较稳妥的结论是：PHP2Shell风险严重，并迅速引起攻击者关注，需要尽快修补；但不能把攻击活动的次数说成成功入侵的数量。现有报道也没有可靠估算暴露在风险中的网站数量，或证实存在自主AI攻击。

PHP2Shell是研究人员对PHP中两项严重漏洞的统称，编号为CVE-2026-109618和CVE-2026-109619。两者的CVSS 4.0评分均为9.2，可能导致远程代码执行：攻击者有机会在受影响的服务器上运行代码，而且不需要先登录。PHP项目于2026年10月21日发布紧急修复。 8910

这起事件也让AI辅助安全研究受到关注：Calif使用OpenAI的GPT-5.6 Sol发现了一项严重漏洞，Wiz则独立发现并报告了两项漏洞。不过，报道中提到的扫描或攻击尝试，并不等同于已经确认服务器遭到入侵。 202934

PHP2Shell可能造成什么影响？

这两项漏洞存在于PHP本身，而不是某个特定的网站平台或插件中。其中，CVE-2026-109618与PHP处理内存耗尽（out-of-memory）状况有关：当请求数据尚未完全初始化时，处理过程可能被中断。CVE-2026-109619则涉及一种内部状态在其背后占用的内存释放后仍继续存在的问题。两项漏洞都可能导致远程代码执行。 1026

两项漏洞的CVSS 4.0评分均为9.2，属于严重级别。风险之所以突出，在于攻击者可能无需身份验证，就从远端在受影响的服务器上运行代码。 910

AI辅助研究如何参与发现？

在OpenAI的“Patch the Planet”计划中，安全公司Calif使用GPT-5.6 Sol发现了一项严重漏洞。Wiz也独立发现并报告了两项漏洞；相关报道指出，其研究使用了Wiz Atlas，以及Gemini 4 Argon和GPT-5.6 Sol。 2029

关于最初发现的具体时间，报道说法并不完全一致：一则报道称Calif于8月1日发现漏洞，另一则称研究人员在8月11日向PHP报告了第一项漏洞。不过，两种说法都描述了研究人员在10月披露前与维护者进行协调的过程。 2030

需要区分的是，AI协助研究人员发现漏洞，并不能证明后续攻击是由自主AI执行的。现有报道没有证实存在由自主AI实施的攻击。

紧急修复与服务中断

PHP于10月21日发布了修复版本：8.2.35、8.3.36、8.4.27和8.5.12。这些版本号对应PHP上游项目的发布版本。Linux发行版可能会将修复回移到自身的软件包中，因此软件包版本号未必相同；管理员应同时查看所用发行版的安全公告，不能只凭版本号判断是否已修复。 827

漏洞披露后，一些网站运营者为评估风险而暂时关闭系统。报道称，欧洲及其他地区的政府网站在10月21日下线。 21 另有报道指出，漏洞细节泄露促使PHP将原定发布时间提前了一天。 2233

对于使用PHP的组织，首要事项是确认实际处理网站流量的PHP实例已安装供应商提供的修复，按要求完成更新，并遵循服务提供商关于重启或验证的指引。如果服务器由托管服务商管理，应向对方确认修复状态，不要只凭网站表面是否正常来判断。 824

有攻击尝试，不等于已确认入侵

据报道，Cloudflare和Patchstack在PHP于10月21日发布补丁前观察到针对漏洞的探测活动。一份后续安全报告称攻击尝试达数百万次；BBC则报道，截至10月22日，尚无已知的成功利用案例。这些信息足以说明应谨慎应对，但不能证明这些尝试造成了已确认的入侵。 2334

因此，较稳妥的结论是：PHP2Shell风险严重，并迅速引起攻击者关注，需要尽快修补；但不能把攻击活动的次数说成成功入侵的数量。现有报道也没有可靠估算暴露在风险中的网站数量，或证实存在自主AI攻击。