本期日期 2026年10月24日
PHP2Shell：补丁已发布，风险敞口仍然存在
TechCrunch报道了可使攻击者无需身份验证即可远程控制系统的PHP漏洞。在与大型互联网企业进行保密准备后，补丁已于周三发布。据报道引用的研究人员所述，未修补的系统仍面临风险。
法律告知：此内容由人工智能系统生成。 编辑透明度
对PHP2Shell的应对体现了网络安全的一项核心难题：发布补丁并不足以保护所有系统。TechCrunch的报道描述了协调披露、服务中断，以及人工智能所作的贡献，研究人员也强调了这种贡献的局限。
PHP2Shell的补丁已经发布，但部署仍是决定性环节。TechCrunch在十月24日发表的文章中报道，尽管PHP负责人此前已与大型互联网企业展开协调，仍有系统处于易受攻击的状态。这些漏洞可使攻击者在受影响且未修补的系统上，无需身份验证即可远程执行代码。
这两项漏洞编号为CVE-2026-109618和CVE-2026-109619，无需受害者点击链接或打开文件即可被利用。据该媒体报道，攻击者可借此控制相关系统，进而安装恶意软件、窃取数据或长期保持访问权限。这些特性叠加，解释了部署补丁的紧迫性。
TechCrunch指出，这些缺陷早在2024年就已被发现，但当时未被认为可以利用，也未在那个阶段得到修复。Calif的研究人员随后找到了利用方法，并通知了PHP Foundation。该基金会组织了协调披露，以保密方式向大型企业提供信息和补丁，帮助它们为部署做好准备。
据该媒体叙述，补丁于周三公开发布。银行、商家、游戏服务商、医院和公共机构曾暂时将网站或服务器下线，以进行处理。TechCrunch认为，这些准备工作在很大程度上帮助避免了现阶段的大规模漏洞利用，同时也转述了研究人员对仍然暴露在风险中的系统发出的警告。因此，这一阶段性评估不足以得出风险已经消失的结论。
此事还涉及人工智能。TechCrunch报道，Calif参与了OpenAI和Wiz的Hack the Planet计划，后两者核验了Calif的漏洞利用演示。根据该媒体呈现的研究人员报告，人工智能帮助了漏洞利用，但大部分工作依赖于研究人员对PHP代码及其安全历史的了解。
因此，实际操作层面的启示在于，要从补丁可用推进到补丁真正安装到位。协调能够减少初期的风险暴露，但无法保证所有相关系统都得到保护。至于人工智能的作用，报道中的信息描述的是它对专业工作的辅助；这些信息并未证明人工智能具备自动发现和利用所有漏洞的通用能力。