昨天安全圈直接炸锅：GPT 挖出了一个 PHP 大漏洞，外号 PHP2Shell。
我一开始也以为是营销号在吓唬人，结果翻完资料，这次真得认真对待。
这个漏洞包含两个 CVE，评分都是 9.2，妥妥的超危级别。
简单说，攻击者不用登录，就能远程在服务器上执行代码，等于直接拿到服务器控制权。
更离谱的是，影响范围从 PHP 5.4 起步，几乎把老版本一网打尽。
发现过程也挺戏剧性：安全公司 Calif 的研究员用 OpenAI 的 GPT-5.6 Sol 审计PHP源码时挖出来的，Google 旗下 Wiz 也独立发现了同一个问题。
其实 2024 年就有人报过类似缺陷，但当时大家觉得利用难度高、修复也麻烦，补丁就被搁置了。
结果 AI 一介入，直接把“到底能不能真打”给证明了，这才促成紧急修复。
漏洞披露后，荷兰、芬兰部分政府网站临时下线，FBI 也发了警告，建议修不了的机构先下线保平安。你就说这排面大不大。
官方给的唯一彻底方案就是升级：PHP 8.5.12、8.4.27、8.3.36、8.2.35 这几个版本已经修复到位。
还在用 7.4、8.0、8.1 的，官方提供了最小源码补丁，也可以去问 Linux 发行版供应商有没有回溯修复包。
如果实在没法立刻升级，官方建议临时把 memory_limit 设成 -1，再调低 post_max_size，但这只是降低风险，不能替代升级。
另外，mod_php 模式风险最高，能换就换。
AI 在安全领域真是把双刃剑。
它能把人类审计算不过来的代码翻个底朝天，漏洞发现速度只会越来越快；但攻击者同样能用 AI 加速寻找利用链，攻防节奏都得卷起来。
这次最讽刺的就是“2024 年就发现过但搁置了”。很多老漏洞不是没人看见，而是被“难度高、影响小”这套说辞给说服了。
AI 的价值不只是发现，更在于证明“这事儿真能打”，逼着大家动起来。
对普通用户来说，你用的 CMS、插件、主机，背后基本都是 PHP，能升级就升级。
对企业来说，别把 PHP 当“老古董”放着不管，该升级升级，该上WAF上WAF，该做资产盘点做盘点。别存侥幸心理。 | 
发表于 2 小时前
|
查看: 8|
回复: 0
