PHP2Shell事件呈现了AI在网络安全中的双刃效应：AI辅助研究帮助发现PHP中的严重漏洞，而漏洞披露以及有关漏洞已遭利用的通报，也让防守方必须尽快响应。这起事件说明，发现漏洞只是安全工作的一环；组织还需要核实受影响范围、协调修复，并把补丁真正部署到系统中。16321

PHP2Shell事件经过

PHP2Shell指的是CVE-2026-109618和CVE-2026-109619，属于PHP中的两个漏洞。加拿大网络安全中心将其描述为“释放后使用”（use-after-free）漏洞：成功利用后，未认证攻击者可能在受影响系统上执行任意代码。相关通报和报道给出的严重程度评分为9.2。214

PHP的广泛应用让这起事件受到关注。报道援引的估算称，约七成网站使用PHP；但这不等于七成网站都已确认存在漏洞。实际风险取决于网站是否运行了受影响且尚未修补的PHP版本。CISA指出，提供Web请求服务的PHP安装受到影响。32441

这两个漏洞是在AI辅助研究中被发现的。Calif介绍了其团队的相关研究；其他报道则称，Calif研究人员通过OpenAI的GPT-5.6 Sol参与“Patch the Planet”项目，Wiz也独立报告了相关发现。1634

PHP于2026年10月21日发布修复版本，包括PHP 8.2.35、8.3.36、8.4.27和8.5.12。美国国家安全局（NSA）建议组织安装补丁；之后，美国网络安全和基础设施安全局（CISA）将两个CVE列入“已知遭利用漏洞”（KEV）目录，并敦促组织立即更新。3171

这起事件说明了什么

AI辅助分析可以帮助发现隐蔽漏洞

PHP2Shell显示，AI辅助分析能够为发现广泛使用的软件漏洞提供助力。本次研究针对的是PHP本身，而不只是某个网站或某款PHP应用中的问题。Calif的研究和Wiz的独立发现都推动了外界对这些漏洞的关注。1632

但发现漏洞不等于风险已经解决。漏洞仍需经过验证、负责任地披露、修复，并从暴露在外的系统中消除。PHP发布补丁，以及相关机构随后发出的紧急通报，都是应对过程的重要环节。3171

发现越快，修补与协调的压力越大

漏洞公开后，软件维护者和组织必须及时确认哪些系统受影响，并部署更新。CISA紧急敦促安装补丁，之后又将漏洞列入KEV目录，凸显了响应速度的重要性。这些通报支持“漏洞已在现实环境中遭利用”的判断，但不能据此说攻击是由AI造成，也无法说明究竟有多少系统被攻陷。1

这里需要区分两件事：AI辅助研究可能缩短发现漏洞所需的时间，但有效防护仍依赖具体工作——查清PHP部署在哪里、明确由谁负责，并安装适用的更新。有关PHP披露流程的报道，也反映出广泛使用的开源项目在处理严重漏洞时可能面临协调挑战。46

严重程度评分不等于实际受影响规模

9.2分意味着漏洞严重，但不代表所有PHP网站都能被利用，也不代表所有存在漏洞的网站都遭到攻击。CISA的通报针对提供Web请求服务的PHP安装；对具体组织而言，风险还取决于软件版本、配置和补丁状态。141

对“已遭利用”的报道，也应结合时间与范围理解。CISA后来将漏洞列入KEV目录，表明有漏洞遭利用的证据；而安全公司此前发布的监测结果，描述的是其各自在特定时间点看到或未看到的情况。由于监测覆盖范围和报告时间不同，这些说法不一定互相矛盾。12325

网站运营者可以采取哪些措施

• 安装与部署版本相匹配的PHP更新。 已列出的修复版本为8.2.35、8.3.36、8.4.27和8.5.12；请根据官方发布说明或供应商指引选择升级路径。3
• 优先检查提供Web请求服务的PHP系统。 CISA明确敦促组织立即修补受影响的安装。1
• 把其他安全措施视为补充，而非替代修补。 多因素认证和使用独立密码有助于保护账户，但无法修复可能导致未认证代码执行的服务器端漏洞。

关键结论

PHP2Shell表明，AI辅助研究可以帮助揭示严重的软件漏洞，而漏洞被发现后，防守方也可能面临更紧迫的响应期限。但这起事件并不能证明，AI发现的漏洞越多，成功攻击就必然越多。要得出更广泛的结论，还需要考察实际攻击、补丁部署速度和防御成效，而不能只看漏洞数量。

PHP2Shell事件呈现了AI在网络安全中的双刃效应：AI辅助研究帮助发现PHP中的严重漏洞，而漏洞披露以及有关漏洞已遭利用的通报，也让防守方必须尽快响应。这起事件说明，发现漏洞只是安全工作的一环；组织还需要核实受影响范围、协调修复，并把补丁真正部署到系统中。16321

PHP2Shell事件经过

PHP2Shell指的是CVE-2026-109618和CVE-2026-109619，属于PHP中的两个漏洞。加拿大网络安全中心将其描述为“释放后使用”（use-after-free）漏洞：成功利用后，未认证攻击者可能在受影响系统上执行任意代码。相关通报和报道给出的严重程度评分为9.2。214

PHP的广泛应用让这起事件受到关注。报道援引的估算称，约七成网站使用PHP；但这不等于七成网站都已确认存在漏洞。实际风险取决于网站是否运行了受影响且尚未修补的PHP版本。CISA指出，提供Web请求服务的PHP安装受到影响。32441

这两个漏洞是在AI辅助研究中被发现的。Calif介绍了其团队的相关研究；其他报道则称，Calif研究人员通过OpenAI的GPT-5.6 Sol参与“Patch the Planet”项目，Wiz也独立报告了相关发现。1634

PHP于2026年10月21日发布修复版本，包括PHP 8.2.35、8.3.36、8.4.27和8.5.12。美国国家安全局（NSA）建议组织安装补丁；之后，美国网络安全和基础设施安全局（CISA）将两个CVE列入“已知遭利用漏洞”（KEV）目录，并敦促组织立即更新。3171

这起事件说明了什么

AI辅助分析可以帮助发现隐蔽漏洞

PHP2Shell显示，AI辅助分析能够为发现广泛使用的软件漏洞提供助力。本次研究针对的是PHP本身，而不只是某个网站或某款PHP应用中的问题。Calif的研究和Wiz的独立发现都推动了外界对这些漏洞的关注。1632

但发现漏洞不等于风险已经解决。漏洞仍需经过验证、负责任地披露、修复，并从暴露在外的系统中消除。PHP发布补丁，以及相关机构随后发出的紧急通报，都是应对过程的重要环节。3171

发现越快，修补与协调的压力越大

漏洞公开后，软件维护者和组织必须及时确认哪些系统受影响，并部署更新。CISA紧急敦促安装补丁，之后又将漏洞列入KEV目录，凸显了响应速度的重要性。这些通报支持“漏洞已在现实环境中遭利用”的判断，但不能据此说攻击是由AI造成，也无法说明究竟有多少系统被攻陷。1

这里需要区分两件事：AI辅助研究可能缩短发现漏洞所需的时间，但有效防护仍依赖具体工作——查清PHP部署在哪里、明确由谁负责，并安装适用的更新。有关PHP披露流程的报道，也反映出广泛使用的开源项目在处理严重漏洞时可能面临协调挑战。46

严重程度评分不等于实际受影响规模

9.2分意味着漏洞严重，但不代表所有PHP网站都能被利用，也不代表所有存在漏洞的网站都遭到攻击。CISA的通报针对提供Web请求服务的PHP安装；对具体组织而言，风险还取决于软件版本、配置和补丁状态。141

对“已遭利用”的报道，也应结合时间与范围理解。CISA后来将漏洞列入KEV目录，表明有漏洞遭利用的证据；而安全公司此前发布的监测结果，描述的是其各自在特定时间点看到或未看到的情况。由于监测覆盖范围和报告时间不同，这些说法不一定互相矛盾。12325

网站运营者可以采取哪些措施

• 安装与部署版本相匹配的PHP更新。 已列出的修复版本为8.2.35、8.3.36、8.4.27和8.5.12；请根据官方发布说明或供应商指引选择升级路径。3
• 优先检查提供Web请求服务的PHP系统。 CISA明确敦促组织立即修补受影响的安装。1
• 把其他安全措施视为补充，而非替代修补。 多因素认证和使用独立密码有助于保护账户，但无法修复可能导致未认证代码执行的服务器端漏洞。

关键结论

PHP2Shell表明，AI辅助研究可以帮助揭示严重的软件漏洞，而漏洞被发现后，防守方也可能面临更紧迫的响应期限。但这起事件并不能证明，AI发现的漏洞越多，成功攻击就必然越多。要得出更广泛的结论，还需要考察实际攻击、补丁部署速度和防御成效，而不能只看漏洞数量。