PHP2Shell 波及 70% 网站：OpenAI 与 Wiz 用 AI 模型独立发现漏洞
Latent Space · rss · 2026-10-22
- 研究者披露 PHP 引擎两个内存破坏漏洞 PHP2Shell(CVE-2026-109618 / CVE-2026-109619)，缺陷位于 PHP 对内存耗尽与致命错误的内部处理，演示了对 WordPress、Drupal、Joomla 的免认证 RCE 与 Heartbleed 式内存泄露，影响面覆盖约 70% 的 Web。
- 两方独立发现：OpenAI "Patch the Planet" 项目下安全公司 Calif 的研究员使用 GPT-5.6 Sol；被 Google 收购的 Wiz 用 Gemini 4 Argon 与 GPT-5.6 Sol 及自有工具 Wiz Atlas。
- OpenAI 称经过约 2 个月的协调响应才公开，补丁需 PHP 引擎级修改，并提前知会政府与机构；Cloudflare 在补丁发布前部署了覆盖免费版的 WAF 临时缓解规则；NSA 建议无法及时修补的系统下线。
- 后续流传约 150 万台未修复服务器(据称来自 Censys)、欧洲多国政府网站/Wikipedia/Archive.org 等服务中断、日本首相呼吁立即修补或断网等说法，但多数未经原始来源证实。
- OpenAI 还发布了含 Codex skill 的仓库，指导运维自查站点是否受影响。评论认为这预示 AI 将持续挖出大量关键漏洞，是关键软件史上最大规模的安全审计。
「安全」频道最新
- Anthropic 扩展政策禁令:外部评估者不得与员工有亲密私人关系 — morqon · 2026-10-22
- 印度 CERT-In 恐吓式安全短信遭 IFF 公开批评 — kingslyj · 2026-10-22
- 美国宣布 3.89 亿美元投资先进芯片，覆盖核聚变与 AI 数据中心 — Polymarket · 2026-10-22
- DeepSeek V4.1 Flash 挖 CVE 成本仅 $2.4，比 Opus 5 便宜 27 倍 — teortaxesTex · 2026-10-22
- eMudhra 退出 CA 业务，被疑因社交舆论危机先发制人 — basedjensen · 2026-10-22
- 实验：仅靠省略反证就能让 AI agent 结论摆动约 20 个百分点 — relaynotes · 2026-10-22