AI挖出PHP核心高危漏洞：波及全球70%网站，可未验证远程执行代码

安全研究人员披露了一组名为PHP2Shell的PHP核心严重漏洞，最高严重等级达CVSS 9.2，可让未经验证的攻击者在服务器上执行任意代码或读取敏感进程内存。该漏洞家族包含两类内存安全问题：一类由内存耗尽处理不当引发内存损坏，另一类是跨请求残留的过期全局状态。由于漏洞位于PHP引擎本身，即使网站应用代码完全安全，运行受影响PHP版本的”Hello World”应用同样会被波及。PHP驱动着全球约70%的网站，WordPress、Drupal、Joomla、MediaWiki等主流平台均基于其构建。研究人员在受控环境中利用最新容器镜像，成功演示了对WordPress、Drupal和Joomla的未验证远程代码执行，以及与应用无关的内存泄露攻击，后者可在不触发代码执行告警的情况下窃取密码、身份验证令牌、API密钥和证书。运行最新补丁版本PHP的站点已受到保护，PHP团队与研究人员密切协作，快速发布了完整修复。此次研究由Wiz Research与OpenAI Codex Security联合完成，AI技术在真实高危漏洞挖掘中的实际应用得到验证。

事件分析

核心观点：AI不仅能写代码还能挖漏洞：支撑70%互联网的PHP由AI修复，也预示网络安全将进入AI对AI的攻防时代。