AI-Assisted Discovery Turns PHP2Shell Into a Critical Crisis
The PHP development team patched CVE-2026-109618 and CVE-2026-109619, collectively known as PHP2Shell, on October 21. According to iThome 台湾, Calif researchers used frontier AI tools alongside human expertise to connect previously reported memory-exhaustion and cleanup weaknesses with reliable remote-code-execution paths affecting WordPress, mod_php, and PHP-FPM. WIRED AI reported that Cloudflare counted millions of exploitation attempts shortly after disclosure, while the PHP Foundation said it had not observed any successful exploitation.
PHP2Shell demonstrates how AI-assisted research can turn long-known but previously unexploitable software weaknesses into an urgent risk for widely deployed web infrastructure.
10月21日PHP開發團隊發布及修補統稱為PHP2Shell的重大漏洞CVE-2026-109618、CVE-2026-109619，這些漏洞由資安公司Wiz、Calif，以及AI龍頭OpenAI獨立調查並向PHP通報，其中Wiz指出，這兩個漏洞最早可追溯到2012年推出的PHP 5.4版，然而Calif透露，PHP2Shell存在的時間恐怕不僅於此，可能源自二十多年前第一個被發現的PHP記憶體限制漏洞。
Calif表示，他們在7月底參與OpenAI發起的Patch the Planet計畫，借助AI的力量成功找出PHP2Shell，但在此之前，已有研究人員多次找出相關問題，只是因為無法被證實能用於攻擊，而沒有被視為資安漏洞。Calif指出，這些弱點可追溯到2004年，現已加入該公司的PHP資安專家Stefan Esser當時發現的全球第一個PHP記憶體限制漏洞，該弱點可被用於遠端程式碼執行（RCE）攻擊，由於過於危險，Stefan一度不願將其公開。
後續在2020年，使用電子郵件信箱[email protected]的研究員也發現相同問題，他向PHP專案通報看似無害的問題#78876，提及特定的長變數可造成記憶體耗盡（OOM），並導致暫存檔案清理失敗，不過，當時並未引起太多注意。4年後OSTIF與Quarkslab對PHP進行稽核，也發現相同的OOM問題，然而，由於研究人員無法證明能被用於攻擊，此弱點未被修復。
#PHP#PHP Foundation#PHP2Shell#OpenAI#Calif#Wiz#Cloudflare#WordPress#mod_php#PHP-FPM#Patch the Planet