一个 AI 挖出的漏洞让各国政府关站，普通人最该看懂这一句

PHP2ShellAI 挖漏洞网络安全防守方窗口普通人

荷兰政府宣布 DigiD 等网站预防性下线的通知。10 月 21 日晚，多国政府站点在漏洞公开前后主动关停，是这轮风波最直观的画面。

那一夜，到底发生了什么

漏洞的名字叫 PHP2Shell，由两个 PHP 核心漏洞组成，编号 CVE-2026-109618 和 CVE-2026-109619，严重程度评分都是 9.2（满分 10），安全公司 watchTowr 直接打了满分。它们出在 PHP 最底层的内存管理和错误处理上，攻击者不需要登录，就有可能远程控制整台服务器。

PHP 是互联网上使用最广的网站后端语言，能识别出后端语言的网站里约七成跑在它上面。所以这两个漏洞一出，影响面不止某几个站点，几乎是大半个 Web。PHP 官方说，所有处理网页请求的 PHP 版本都受影响，可追溯到十多年前的 PHP 5.4。补丁最终覆盖了 8.2 到 8.5 四个版本。

让各国紧张的是接下来混乱的 48 小时。漏洞原本处在保密期，10 月 20 日消息在论坛泄露，第二天 PHP 官方就把补丁提前一天发布。补丁出来前，攻击尝试就已经开始。多个国家的网安机构给出的建议高度一致：来不及打补丁的系统，先下线。于是有了开头那一幕。

Calif、OpenAI 与 Wiz 三家公司参与了这组漏洞的发现和协调披露。OpenAI 的“Patch the Planet”计划为这次审计提供了模型和算力。

谁发现的，为什么偏偏是 AI

最早找到它的是安全公司 Calif。今年 6 月，OpenAI 启动“Patch the Planet”计划，出钱出模型请安全公司去审计那些被全世界依赖的开源软件，Calif 把目标定在了 PHP。8 月 1 日，研究员带着 AI 开始审计，AI 在这里既是“审计搭档”也是 agent：它梳理内核代码、追踪执行路径，第一个漏洞的关键缺陷就是 agent 在内核里发现的。

更关键的一步在后面。Calif 让 AI 把第一个漏洞的“模式”总结成一份可复用的技能文件，专门用来搜寻同一类缺陷。第二个漏洞，就是靠这份文件找到的。注意这个动作：AI 找到一个漏洞之后，可以把找它的方法打包，再去批量找下一个。几乎同一时间，Wiz 也借助 Gemini 4 Argon 和 GPT-5.6 Sol 独立撞上了同一组漏洞。

两家公司、三个模型、三周之内从两个方向撞上同一组漏洞。这本身说明，用 AI 找漏洞已经成了头部 AI 公司正面竞争的赛道。OpenAI 和 Google 各自强调自家模型的贡献，恰恰反证了这一点。

最该看懂的那句：底层靠“太难打”撑了二十年

PHP2Shell 最反常的地方，是它并不新。Calif 把源头追溯到 2004 年，那年安全研究员 Stefan Esser 就发现过 PHP 内存耗尽时的同类问题。2020 年有人提交过相关 bug 报告，几乎没人理会；2024 年一次第三方资助的安全审计又碰到了它，却因为没能证明真的可以利用，最后没有修。

这个漏洞在 PHP 里躺了十多年，不止一次被人摸到边，却一直没做成真正的攻击。原因不在没人想到，而在太费劲。有分析者给这种状态起名“靠攻击者累到放弃来保证安全”。互联网底层大量的老代码，都处在这种诡异但拧巴的状态里：理论上有漏洞，但真要打起来各路神仙都觉得太累，于是就这么一直放着。

2020 年那份几乎没人理会的 bug 报告。它和这次的 PHP2Shell 同源，说明这个隐患在被人做成可用攻击之前，已经被冷落了多年。

改变这件事的，是 AI 把“找到漏洞、验证漏洞、把攻击适配到不同环境”的成本，从“顶尖团队几个月”降到了“一个人一周”，甚至“几个小时”。有研究者说，AI 第一次把网络攻击的边际成本推向了零。过去那些“太累了不值得”的漏洞，现在全变成了值得。这也解释了为什么两家公司会在三周内撞上同一组漏洞：防守方用公开模型能找到它，攻击方同样可以。

防守方的窗口，从两个月压到了几小时

OpenAI 把“从发现漏洞到攻击者开始利用”的这段时间，叫做防守方窗口。PHP2Shell 的窗口原本有两个多月，一次提前泄露，把它压缩到了几个小时。漏洞公开当天，就有安全公司在诱饵服务器上观察到借助 AI 写出来的攻击尝试。

9.2

两个漏洞的 CVSS 严重程度评分（满分 10）

约 70%

全球网站中使用 PHP 的比例

2260 万+

暴露在公网的 PHP 实例（Unit 42 统计）

补丁发布前一天，互联网上还有约 88 万台服务器对外显示 PHP 8.1 或更老的版本。对它们来说，“理论上有漏洞、实际上没人会打”的那份安全感，已经没有了。AI 让找到漏洞变得前所未有地容易，修补却还得一台服务器一台服务器地做。这份不对称，才是这次事件最让人不安的地方。

更深的警报：同一代模型，攻防两用

这次的发现方是防守阵营，但攻击者手里的 AI，和防守方用的往往是同一代模型。过去一年，攻击者用 AI 的案例在急速升级。2025 年 11 月，有机构披露一个疑似国家背景的组织用 AI 对约 30 个目标发起入侵，战术操作里 80% 到 90% 由 AI 自主完成。2026 年 5 月，有报告显示攻击者借助 AI 开发出了可用的零日攻击，被认为是有史以来第一次。到了 9 月，威胁情报里已经出现规模化作业：一个疑似与俄情报机构有关的组织用 AI agent 在安全软件报警后自动改写恶意程序，一群讲中文的操作者用 AI 集群做侦察和漏洞开发，一名独立黑客靠 AI 写出一个 WordPress 零日，在 42 个目标里至少攻破 14 个。

对当下这种局面，OpenAI 自己也得补一句：帮人发现漏洞的同一能力，也能帮攻击者快速开发攻击工具。这已经不是假设。“AI 防御”从来不是一道只有防守方才握有的护盾，因为造攻击的人，用的也是同一代模型。

对普通人最实在的动作：查你的 PHP

如果你觉得自己只是个普通用户，这事和你无关，那要纠正一下：只要你经营任何一个网站，无论是 WordPress 博客、电商小店、还是公司官网，背后大概率跑着 PHP。这次受影响的，正是这个“大概率”。

最该做的动作很朴素：立刻确认你的运行环境是不是新版 PHP，不是就更新；用虚拟主机的，直接问服务商“我用的 PHP 修没修 PHP2Shell，什么时候重启的”。补丁只是第一步，worker 进程必须重启才会生效，很多站点以为打了补丁其实还在跑旧进程。如果暂时没法更新，按官方和主机商的建议先做临时缓解，必要时宁可先下线。

该问主机的	该自查的	该警惕的
用的哪个 PHP 版本，是否含本次修复	网站有没有异常进程拉起命令行	补丁打了但 worker 没重启，仍裸奔
补丁部署时间和重启时间	有没有陌生文件被写入站点目录	第三方插件里藏着的 WebShell
是否启用 WAF 等默认防护	访问日志里有无大量异常请求	把“没被黑”误当“已安全”

一句话记住：打补丁关掉的是入口，它不自动清除已经装进去的后门。如果你怀疑中招，别只更新，要从干净环境改密码、撤授权，再请人排查。

一个会被反复验证的趋势

这场风波不是孤例，数据已经在印证。PHP2Shell 公开的前一天，10 月 20 日，Google 发布 Chrome 156，一个版本就修复了 353 个安全漏洞。一年前同期的 Chrome 141 和 142，这个数字分别是 21 和 26，一年涨了十倍以上。更值得玩味的是报告人名单：最高等级的 6 个严重漏洞，有 4 个由 Anthropic 的研究员报告，其中一个明确标注“由 Claude 协助”，另有 1 个来自 OpenAI 的 Codex Security。AI 公司的名字，已经成批出现在全球用户最多的浏览器的安全公告里。