PHP 基金会披露：Claude 曾扫描 PHP 代码，助修两个关键 RCE 漏洞
Hesamation · x · 2026-10-22
PHP 基金会发布安全更新，修复两个关键远程代码执行漏洞，并首次披露今年早些时候 Anthropic 的 Claude（Mythos）曾扫描 PHP 代码库，且可使用 OpenAI 的 Daybreak Red 验证漏洞利用。
两个漏洞均可被未认证攻击者在特定条件下实现 RCE：
- CVE-2026-109618：请求恰好在触发 memorylimit 时，PHP 可能残留部分初始化的内部数据并被当作有效数据，导致内存损坏。在 Apache + modphp 默认配置下，未认证请求可在应用代码运行前触发，已演示完整 RCE；PHP-FPM 下也确认可通过应用层路径 RCE。
- CVE-2026-109619：致命错误若发生在错误时点，内部状态会指向属于前一请求的内存，同一 worker 后续请求可复用已释放内存，已确认 use-after-free 与 worker 崩溃及真实环境 RCE。
已发布 PHP 8.5.12 / 8.4.27 / 8.3.36 / 8.2.35 修复版本。发帖人评论：前沿网络攻防模型只掌握在少数机构手中，对互联网整体安全未必是好事。
所属事件:PHP 紧急修复两个未认证 RCE 漏洞，Claude 曾助扫代码(2 条相关)→
「模型」频道最新
- LightOn 开源 SlideOn:SAE 稀疏检索模型 174M 反超稠密版 — tomaarsen · 2026-10-22
- LightOn 新模型登顶 MTEB,包揽 500M 参数以下检索前两名 — tomaarsen · 2026-10-22
- NVIDIA 发布 Vera Rubin 全栈 agent 硬件，Nemotron 后训练宣称超越前沿模型 — mervenoyann · 2026-10-22
- LMArena 现身 Carbon 检查点，Gemini 网页与 App 同步更新 — lyraxana · 2026-10-22
- KRAFTON 首个模型 Raon-1-mini-preview 冲上 Hugging Face 热榜 — KRAFTON · 2026-10-22
- YouTube 周报：Gemini 4 Carbon 新检查点 3D 生成直逼 Opus 5.5? — WorldofAI · 2026-10-22