Wiz Research与Calif及OpenAI合作，最近在PHP核心引擎中发现了一系列关键的内存安全漏洞。这些漏洞统称为PHP2Shell，允许未经身份验证的攻击者执行远程代码或泄露敏感的进程内存，例如密码和API密钥。由于PHP驱动着全球约70%的网站——包括WordPress、Drupal和MediaWiki等主要平台——这一发现对互联网基础设施的很大一部分构成了重大风险。这些漏洞独立于运行在PHP之上的特定应用程序，这意味着即使是安全的“Hello World”应用程序，如果运行在受影响的PHP版本上，也可能被攻破。
该研究识别出了PHP核心引擎中的一系列关键内存安全漏洞。
这些问题的技术根源在于PHP处理致命错误的方式，特别是内存溢出（OOM）事件。当一个请求触发OOM错误时，PHP引擎可能会留下损坏的内部状态或“陈旧”的全局指针。随后由同一个工作进程处理的请求可能会重用这些损坏的状态。具体而言，研究识别出了四个可利用的漏洞，归类为两个CVE（CVE-2026-109618和CVE-2026-109619）。这些漏洞包括“上传进度反序列化释放后使用”和“OPcache类型混淆”。在后者中，脚本持久化期间的分配失败会导致共享内存索引不匹配，从而导致跨工作进程的类型混淆，可被利用进行远程代码执行。
由于PHP驱动着全球约70%的网站——包括WordPress、Drupal和MediaWiki等主要平台——这一发现对互联网基础设施的很大一部分构成了重大风险。
这项研究的一个关键发现是前沿AI在弥合理论缺陷与实际利用之间的鸿沟中所起的作用。虽然这些漏洞在PHP代码库中已经存在了十多年，但将多个内存漏洞串联起来并适应不同服务器配置的复杂性，使得人类研究人员难以大规模利用它们。研究团队利用了如Gemini 4 Argon和GPT-5.6 Sol等模型来自动化不同环境下的漏洞测试、调试和适配。这种能力的转变表明，复杂性可能不再是足够的利用障碍，因为AI可以快速迭代导航内存布局和配置细微差别所需的复杂步骤。PHP此后已发布补丁来修复这些核心引擎缺陷，建议所有受影响的系统立即进行更新。