PHP 紧急 RCE 漏洞：从 AI 发现到补丁存疑

第 1 集 · PHP 紧急修复两个未认证 RCE 漏洞，OpenAI 称由其模型发现(2026-10-21,64 条)

PHP 于 10 月 21 日发布安全通告，披露两个可导致未认证远程代码执行（RCE）的严重漏洞（CVE-2026-109618、CVE-2026-109619，CVSS v4 评分 9.2），并随 8.5.12、8.4.27、8.3.36、8.2.35 四个版本紧急修复。OpenAI 宣布其「Patch the Planet」计划中的模型帮助研究人员发现了这些漏洞，FBI、NSA 相继发出紧急通告，建议无法立即升级的组织暂时下线系统。

已确认

• PHP 官方通告确认两个严重漏洞可致未认证 RCE，影响所有处理 Web 请求的部署（PHP-FPM、modphp、php-cgi、FrankenPHP、LiteSpeed），其中 modphp 风险最高——Daniel Lockyer 指出已有演示 exploit 可在应用代码执行前被未认证请求触发
• 修复版本为 PHP 8.5.12、8.4.27、8.3.36、8.2.35；补丁于日本时间 10 月 21 日深夜（UTC 14:00）发布，此前官方提前预告并呼吁用户准备升级，并称若细节提前泄露或出现野外利用可能提前发布
• OpenAI 宣布「Patch the Planet」计划研究人员借助其模型发现漏洞，过去两个月牵头维护者与安全厂商协调修复；Wiz 参与联合发现（moyix 转发的 php2shell 技术剖析采用「时间之旅」叙事，从 2004 年的代码历史追溯漏洞根源）
• Cloudflare 紧急上线 WAF 规则提供临时缓解；Laravel 创始人 Taylor Otwell 表示 Laravel 全线紧急适配补丁
• FBI 通报两个 CVE 编号并建议无法立即升级的组织先下线系统；NSA 发布紧急建议，要求尽快更新或下线
• 多方警告补丁发布后攻击者可能迅速利用：有安全账号预测 AI 辅助的自动化攻击或在补丁上线 15 分钟内出现；漏洞位于 PHP 引擎本体，插件开发者无法代为修复，WordPress 站长被敦促连夜待命打补丁；攻击后果被描述为获取服务器管理员权限、窃取整库数据并横向攻击其他系统

尚未确认

• cyb3rops 此前称存在一个 CVSS 10.0 满分 RCE 漏洞且仅 PHP 8 系列获补丁、旧版本不修复，与官方四版本修复范围表述不一致，未获官方通告直接印证
• vxunderground 爆料称该漏洞（php2shell）严重度可与 Log4Shell 相提并论，属安全研究者个人评估
• OpenAI 具体使用哪个模型（Kyrannio 转发称 GPT-5.6）未在 OpenAI 官方帖中确认；不同帖子对 PHP 网站份额的估计在约 70% 至 80% 之间不一

为什么重要

• PHP 驱动全球约 70%（部分说法为 80%）的网站，WordPress 等主流建站生态均基于其上，漏洞暴露面极大
• 这是 AI 模型系统性参与开源软件关键漏洞挖掘与修复的标志性案例，OpenAI 借此发起「Patch the Planet」全球网络安全倡议，意图用 AI 持续发现并修复开源漏洞

• PHP 核心曝 CVSS 10.0 满分 RCE 漏洞,仅 PHP 8 获补丁 — cyb3rops · 2026-10-21
• PHP 核心现 CVSS 满分 RCE 漏洞，10 月 21 日发紧急补丁 — cyb3rops · 2026-10-21
• PHP 核心 RCE 漏洞 CVSS 10.0，eBPF 工具可提前监测利用行为 — cyb3rops · 2026-10-21
• PHP 预告 critical 安全更新：两个 CVSS 9.2 漏洞将于 10 月 21 日修复 — jedisct1 · 2026-10-21
• PHP 将披露两个 CVSS 9.2 关键漏洞，Laravel 全线紧急适配补丁 — taylorotwell · 2026-10-21
• 曝 PHP 远程漏洞波及 PHP 5,AI agent 抢在补丁前造攻击武器 — MarcJSchmidt · 2026-10-21
• PHP 两个「紧急」级漏洞引发关注，修复补丁深夜上线 — itmedia_news · 2026-10-21
• PHP 两个 RCE 漏洞信息泄露,官方紧急补丁明日发布,最高评 CVSS 10 — DynamicWebPaige · 2026-10-21
• PHP 曝两个新 CVE,维护者称“互联网 70% 今晚起火” — JiliJeanlouis · 2026-10-21
• PHP 将紧急修复两个 CVSS 9.2 严重漏洞,疑似可远程代码执行 — _jaydeepkarale · 2026-10-21
• PHP 爆两个未认证 RCE 严重漏洞，8.5.12 等四个修复版紧急发布 — cyber_forecast · 2026-10-21
• PHP 关键 RCE 补丁前泄露，有人担忧波及开源 AI 监管 — basedjensen · 2026-10-21
• PHP 曝超级漏洞，安全圈称严重度可比 Log4Shell，PoC 视频里还有跳舞动漫妹 — basedjensen · 2026-10-21
• PHP 预告两个 CVSS 9.2 严重漏洞，Cloudflare 紧急上线 WAF 规则 — mitsuhiko · 2026-10-21
• PHP 核心 RCE 漏洞 CVSS 定为 9.2，详情延至 21 日公布 — cyb3rops · 2026-10-21
• 两个 PHP 核心 CVSS 9.2 漏洞今日紧急修复,或为未授权 RCE — Kyrannio · 2026-10-21
• 两个 CVSS 9.2 级 PHP 0-day 曝光，未升级站点数据库恐遭泄露 — seanwbren · 2026-10-21
• PHP 爆 CVSS 9.2 紧急漏洞，WordPress 站长被敦促连夜待命打补丁 — EthanJPerez · 2026-10-21
• PHP 两个 CVSS 9.2 严重漏洞将披露，波及约 70% 网站 — banteg · 2026-10-21
• PHP 爆 CVSS 9.2 极危漏洞,紧急补丁发布后 AI 辅助攻击或 15 分钟内到来 — EthanJPerez · 2026-10-21

还有 44 条相关讨论 →

第 2 集 · 研究者预测 LLM 扫 PHP 代码库或挖出数十个漏洞(2026-10-21,3 条)

安全研究者 moyix 预测，PHP 官方即将修复的漏洞公布后，大量研究者当晚把 LLM 对准 PHP 代码库，很可能找出除即将修复之外的几十个其他严重漏洞；他还押注最可能发现的是藏在「递归缩写处理代码」里的可利用栈溢出。开发者 MickeySteamboat 回应称，这正是他做 PHP WASM 沙箱防身的原因。

• 安全研究者预言：用 LLM 审计 PHP 代码库恐挖出更多未公开漏洞 — moyix · 2026-10-21
• moyix 加码预测：PHP 递归缩写处理代码里藏着可利用的栈溢出 — moyix · 2026-10-21
• LLM 扫 PHP 代码库挖洞或成风,开发者早用 WASM 沙箱防身 — MickeySteamboat · 2026-10-21

第 3 集 · PHP 远程代码执行 POC 被证实可用，利用仍有门槛(2026-10-21,2 条)

安全圈人士确认，已公开泄露的 PHP 远程代码执行（RCE）漏洞概念验证代码真实有效。不过利用并非「脚本指向网站就能拿下」那么简单，实际利用存在一定前置条件和门槛。但结合官方对该漏洞的高危定级，整体情况仍相当令人担忧，相关人员应尽快关注并修复相关漏洞。

• PHP 远程代码执行 POC 已验证可用，利用门槛低于预期担忧仍在 — realmrfakename · 2026-10-21
• 网友证实 PHP RCE 概念验证可用,但并非一键即中 — realmrfakename · 2026-10-21

第 4 集 · PHP session.upload_progress 前鉴权 RCE 漏洞 POC 提前公开(2026-10-21,2 条)

安全研究员 Qi Deng 发布 php2shell 研究项目，披露 PHP 核心 session.uploadprogress 处理器中两个 CVSS 高达 9.2 的前鉴权 RCE 漏洞。随后 POC 被提前公开，研究员 Kostastsale 警告仅靠缓解措施可能不足以抵挡攻击，建议对公网暴露的服务器尽快处理，PHP 8.2 以前版本需采取相应应急方案。

• php2shell 漏洞 POC 提前泄露,缓解措施或不足以挡攻击 — basedjensen · 2026-10-21
• PHP session.upload_progress 曝 CVSS 9.2 前鉴权 RCE,POC 已公开 — jedisct1 · 2026-10-21

第 5 集 · PHP 8.5.12 补丁被指不完整，php2shell 漏洞仍可触发(2026-10-22,2 条)

安全研究人员报告，PHP 8.5.12 针对 php2shell 双重释放（double-free）漏洞的 10 月安全修复并不完整：在补丁后的版本上仍可成功触发漏洞，且经验证截图确认至少三条利用路径在修复版中依然存活。研究者提醒，崩溃本身可被进一步利用，建议相关用户持续关注官方后续补丁。

• 实锤:PHP 8.5.12 安全补丁不完整,3 条利用路径在修复版仍存活 — jedisct1 · 2026-10-22
• PHP 8.5.12 补丁后仍可触发 php2shell 双重释放漏洞 — basedjensen · 2026-10-22