AI 一周复现数月工作量：PHP 高危漏洞致全球 70% 网站瘫痪

据 Woofun AI 消息，全球互联网基础设施遭遇十年来最严峻挑战，安全公司 与 联合披露的 高危漏洞导致全球约 70% 的网站面临直接风险。

这一由 AI 驱动发现的安全危机，不仅迫使荷兰、芬兰、法国及澳大利亚等多国政府网站紧急下线，更标志着网络安全攻防范式发生根本性逆转。PHP 项目安全工程师 将此事件定性为 PHP 十多年来最严重的安全事故，其破坏力足以与 2014 年震惊业界的 Heartbleed 漏洞相提并论。此次事件的核心在于，底层缺陷虽存在数十年，但直至 AI 介入才被转化为可大规模利用的攻击链，彻底打破了传统安全审计的时间与人力边界。

从技术归因来看，PHP2Shell 包含 CVE-2026-109618 与 CVE-2026-109619 两个独立漏洞，在 CVSS v4.0 评分体系中均获得 9.2 分的"严重"评级。Wiz 研究团队指出，该漏洞根植于 PHP 引擎在处理内存及致命错误后的全局状态中，未经认证的攻击者仅需发送特制请求即可在服务器上执行任意代码。

值得注意的是，该缺陷独立于上层应用逻辑，这意味着 、、、 等主流建站系统均无法通过应用层配置规避风险。Calif 研究员 在 的辅助下审计 PHP 源代码时首次定位该问题，随后 Wiz 团队结合 Google 的 、 的 GPT-5.6 Sol 以及自有 系统，在不到一周的时间内将碎片化缺陷串联为完整利用链。

Woofun AI 整理数据显示，这一由 AI 加速的审计流程，将原本需要世界级团队耗时数月才能完成的工作压缩至单兵一周内达成，效率提升呈指数级。Calif CEO 强调，该底层缺陷早在几十年前即被研究者指出，但因利用步骤过于复杂而被长期忽视，如今 AI 突破了人类研究者实际能力的边缘，使其具备蠕虫化自我复制与自动传播的技术潜力。

漏洞爆发后的市场反应呈现出前所未有的紧迫感。由于 PHP 驱动全球约 70% 的网站，其影响范围迅速蔓延至政府、企业及开源社区。10 月 21 日，荷兰、芬兰、法国政府网站率先下线，澳大利亚政府网站同样离线，部分站点在数小时内未能恢复服务。PHP 官方紧急发布 8.5.12、8.4.27、8.3.36 和 8.2.35 版本以修复漏洞，但攻击者已抢先行动。 CTO 在补丁发布前几小时便观察到早期攻击尝试，安全公司 报告称，攻击者正使用 AI 辅助编写的工具发起大规模扫描。Thai Duong 警告，攻击者可能获取补丁并利用 AI 快速逆向出利用脚本，进一步加剧了防御难度。美国国家安全局、FBI、英国国家网络安全中心及欧盟网络安全机构联合敦促用户立即更新或下线系统，以阻断潜在的数据泄露与系统接管风险。

此次 PHP2Shell 事件不仅是技术层面的漏洞修补，更是 AI 时代网络安全格局重塑的标志性节点。当 AI 能够将数月的人工审计压缩至一周，并将几十年前的理论缺陷转化为现实威胁时，传统的安全响应机制已显滞后。未来，随着 AI 在攻防两端能力的同步跃升，漏洞发现与利用的周期将进一步缩短，"零日"漏洞的定义可能被重新书写。对于依赖 PHP 生态的全球互联网而言，建立基于 AI 的实时防御体系与自动化补丁分发机制，已成为应对此类系统性风险的唯一可行路径。