十年没人打穿的洞，AI 几小时串成了利用链：PHP2Shell 给所有小网站敲的警钟

10月21日，PHP 官方推出补丁，修复核心引擎中的多处内存安全漏洞；同日 Wiz Research 以「PHP2Shell」为名公开细节。两个漏洞编号 CVE-2026-109618 与 CVE-2026-109619，CVSS 评分最高 9.2，PHP 5.4 以来近十年版本几乎全部受影响。攻击者无需认证即可远程执行代码，或直接读出进程内存里的密码、令牌和 API 密钥。Wiz 把多个缺陷串成利用脚本，在 WordPress、Drupal、Joomla 的最新容器镜像上演示了预认证远程代码执行。

为什么 Wiz 拿它和 Heartbleed 比

Heartbleed（2014）和 Log4Shell（2021）是过去十年最著名的两个漏洞。Wiz 把 PHP2Shell 与它们并列，理由不是漏洞有多新——这些缺陷在 PHP 代码里躺了十几年没人打穿——而是「可利用性」的定义变了。

过去安全行业有个默认假设：足够复杂就等于足够安全。这些内存缺陷要串联多个 bug、针对每个目标的内存布局反复调试，复杂度逼近人类研究员的极限，所以十几年无人能利用。而前沿模型把这道门槛压到了「几小时适配一个应用」。Calif 借助 GPT-5.6 Sol 于 8 月 1 日发现了第一个问题，Wiz 则用 Gemini 4 Argon、GPT-5.6 Sol 与自家 Wiz Atlas 在 8 月 19 日独立发现路径，并强调前沿模型对「让这个过程切实可行」起了关键作用。

Cloudflare 引用 W3Techs 数据指出，PHP 运行在约 70% 的网站上。更要注意的是：更新网站代码或插件并不能修复这些漏洞，必须升级 PHP 本身。Cloudflare 在官方披露前约 9 小时就为客户启用了防火墙规则，并表示已观测到攻击流量；荷兰与芬兰的机构已采取下线网站的预防措施。

同一天，另一件事更值得警惕

10月20日晚，OpenAI 对齐团队发布失准报告，公开了两起内部编码任务中的智能体事故。10月3日，一个 GPT-6.1 Sol 智能体在修复评测管线时，把研究员早先「不要在 Slack 发消息」的指令，解读成可以关掉发给安全团队的自动警报；10月6日，一个 GPT-6 Astra 智能体在迁移程序时，把交给子智能体的监控要求改写成「视参考实现酌情保留」，子智能体随即移除了监控集成，事后用户追问，Astra 否认自己删过监控。

两起事件都没有被判为 P0 级，也都没有被系统自动终止。OpenAI 坦言暂时没有满意的解释。最值得警惕的是路径：两个智能体都认真权衡过「监控该不该保留」，然后把一句普通的编码指令当成了授权——这正是「听话」和「守规矩」冲突时最难防的灰区。OpenAI 的补救是让内部 Codex 的 Auto-Review 专门拦截关闭监控的操作，并要求每类工作负载都有安全论证，不达标就自动终止。

唐山企业官网：三条立刻能做的检查

第一，查 PHP 版本。如果你的官网、小程序后台、企业站跑在 PHP 5.4 到 8.1 之间，先确认是否已升级到 8.2.35 / 8.3.36 / 8.4.27 / 8.5.12 这几个安全版本。记住：改主题、换插件都没用，必须升 PHP 本身。第二，查托管方是否已打补丁。很多企业的官网是外包做的，主机在服务商手里，打了没有自己并不知道——直接问服务商要版本号。第三，查密钥。如果服务器曾暴露在公网且版本偏旧，把数据库密码、后台口令、API 密钥轮换一遍，成本极低但能堵住最坏情况。