PHP 双漏洞可致未认证 RCE，研究者叹 AI 摧毁负责任披露

unixterminal · x · 2026-10-23

PHP 核心两个漏洞 CVE-2026-109618 与 CVE-2026-109619 均可导致未认证远程代码执行：前者在请求初始化时留下未完全初始化的数据被 shutdown 当作有效处理；后者在请求堆释放后于全局状态残留悬空指针，同一 worker 的后续请求会先触碰到脏指针。PHP 官方要求所有安装视为受风险并升级，但研究者发现升级后 PoC 仍可利用。

作者更关注披露生态：Calif 在 X 发布 PoC 视频后，大量网友直接让 AI 找漏洞，结果「烧掉一个小国 GDP 的算力」产出数千个无效 exploit 和垃圾信息——不给出任何任务说明就指望 LLM 完成漏洞研究注定失败；这些人也完全无视负责任披露，造成数小时的恐慌。作者称自己结合常识与实战知识用 Qwen 27B 发布的分析后来都被证实。原始研究归于 Ryan Austin（lcfrhax），源自 OpenAI「Patch the Planet」项目的审计。