研究人員借助AI力量找出存在超過10年的資安漏洞PHP2Shell

10月21日PHP開發團隊修補重大漏洞PHPShell（CVE-2026-109618、CVE-2026-109619），震驚全球，通報漏洞的資安公司Wiz同一天也公布發現這批漏洞的過程。他們透露，這兩個漏洞最早可追溯到2012年推出的PHP 5.4版，由於使用多個頂尖AI模型，包括自家Wiz Atlas、Gemini 4 Argon及GPT-5.6 Sol，Wiz得以在8月下旬成功找出PHP存在兩個漏洞，並在Drupal、WordPress等採用PHP為基礎打造的內容管理平臺（CMS）驗證，繼而向PHP通報及得到確認。

Wiz認為，PHP2Shell是PHP史上最嚴重的漏洞，但研究人員想要驗證能實際用於攻擊，需要極其複雜的步驟，這在人類研究員手動調查原本難以達成，頂尖AI模型大幅消除相關障礙，將長期存在的軟體缺陷變成可利用的資安弱點。

針對上述漏洞形成的原因，Wiz表示源自PHP處理請求時發生致命錯誤，尤其是記憶體耗盡（OOM）情況下的清理流程。當請求異常中止，PHP未能完整清理內部狀態，可能留下指向已釋放記憶體的參照，讓後續請求或工作程序再次存取失效資料，造成記憶體洩漏或破壞。兩個漏洞出現的地方有所不同，CVE-2026-109618涉及上傳進度處理流程，為記憶體反序列化釋放後再存取使用（Use After Free）類型的弱點，攻擊者可利用該缺陷讀取PHP工作程序的記憶體內容，甚至進一步破壞記憶體並執行程式碼；CVE-2026-109619則涉及致命錯誤回溯資訊的記憶體釋放後再存取使用，以及OPcache類型混淆弱點。

為了驗證漏洞造成的影響，Wiz製作漏洞利用指令碼於WordPress、Drupal、Joolma成功驗證PHP2Shell，並強調漏洞存在於PHP本身，即使在PHP系統執行簡單的Hello World應用程式，也可能曝險。值得留意的是，Wiz認為漏洞帶來的危險實際上可能更嚴重，雖然PHP開發團隊將PHP2Shell歸類為遠端程式碼執行（RCE）類型的弱點，但Wiz強調，攻擊者還能用於從PHP處理程序的記憶體讀取敏感資料，包括密碼、權杖，以及API金鑰，而有可能造成更大的危害。