2026-10-24 15:12:35 网络安全文章来源：ZONE.CI 全球网 0 阅读模式

php2shell RCE漏洞相关细节：AI助力发现十年历史漏洞，全球70%互联网基础设施受影响

原创

骨哥说事
骨哥说事

骨哥说事

2026年10月22日 08:51
上海

去阅读


声明：文章中涉及的程序(方法)可能带有攻击性，仅供安全研究与教学之用，读者将其信息做其他用途，由用户承担全部法律及连带责任，文章作者不承担任何法律及连带责任。

防走失：https://gugesay.com/

不想错过任何消息？设置星标↓ ↓ ↓

引言：互联网安全历史上的转折点事件

2026年10月21日，全球网络安全界见证了可能是历史上影响最为广泛的安全事件：两个CVSS评分9.2的关键PHP远程代码执行漏洞被披露和修补。被统称为\"php2shell\"的这两个漏洞（CVE-2026-109618和CVE-2026-109619）已经存在超过十年，影响70%的互联网网站，而它们的发现和武器化则标志着AI在网络安全领域应用的转折点。

更令人担忧的是，早在官方补丁发布的数小时前，Hadrian安全团队已经报告\"php2shell在野外大规模利用\"，大多数攻击利用的是PHP的会话上传进度路径。他们给出了紧急建议：\"如果你运行互联网面向的PHP且无法立即缓解，请将这些系统下线直到补丁发布并安装完成。关闭服务几个小时的成本远低于服务器被入侵。\"

漏洞统计：震惊互联网的现实数据

Wiz研究团队的惊人发现

Wiz研究团队在长达数月的研究中发现了四个可被利用的漏洞被归入两个CVE中：

跟踪ID	漏洞类型	攻击者可实现的后果	我们演示的内容
CVE-2026-109618	上传进度反序列化UAF 远程进程内存泄漏	破坏进程内存并执行代码未经身份验证的PHP工作进程内存泄漏	WordPress、Drupal和Joomla上的预认证RCE 应用程序无关的远程内存泄漏
CVE-2026-109619	致命错误回溯UAF OPcache类型混淆	破坏进程内存并执行代码破坏共享PHP状态并执行代码	Drupal上的预认证RCE WordPress上的预认证RCE

重要提示：虽然演示中选择了三种流行的内容管理系统作为攻击目标，但漏洞存在于PHP本身。即使是一个简单的\"Hello World\"应用，只要运行在受影响的PHP版本上，就可能受到攻击。

版本影响的惊人数据

Hadrian在10月21日的更新中提供了令人震惊的统计数据，基于W3Techs的数据：

PHP版本分布与修复期望

PHP 4：0.1%，无官方修复
PHP 5：7.7%，无官方修复
PHP 7：27.0%，无官方修复
PHP 8.0：~3.8%，无官方修复
PHP 8.1：~9.9%，无官方修复
总计无官方修复：~48.5%

有官方修复的版本：

PHP 8.2：~18.1%，有
PHP 8.3：~22.7%，有
PHP 8.4：~7.9%，有
PHP 8.5：~2.9%，有

合计来看，这约占所有可检测服务器端语言网站的1/3。 Hadrian团队指出：\"维护良好的网站通常会隐藏其版本，一些Linux发行版还会向后移植他们分发的PHP包的修复。\"

技术细节深度剖析

漏洞类别：内存安全问题

所有这些漏洞都是内存安全问题，源于PHP在请求处理过程中处理致命错误的方式，特别是内存不足错误。这些错误可能导致PHP内部状态在请求意外结束后被破坏。后续请求或工作进程可以重用这个陈旧状态，导致内存泄漏或破坏。

CVE-2026-109618：上传进度反序列化UAF

根因：PHP的Session模块可以在同一预初始化窗口期间解码upload-progress处理期间的会话数据。解码器将请求拥有的簿记存储在BG(unserialize)中。致命分配失败可以中断此路径，销毁请求堆并留下反序列化器的全局状态。

利用机理：后来由同一工作进程处理的请求可以消耗攻击者重新获取的内存作为活动反序列化器簿记。陈旧状态变成强大的内存破坏原语。Wiz团队将其与内存泄漏相结合以消除地址不确定性，并在WordPress、Drupal和Joomla上实现了未经身份验证的远程代码执行。

CVE-2026-109619：OPcache类型混淆

根因：OPcache在共享内存中持久化已编译的PHP结构，并分配索引到每个工作进程运行时指针映射中。工作进程通过共享边界协调这些索引。在zend_accel_script_persist()期间，PHP推进进程本地CG(map_ptr_last)边界。只有在持久化完成后，它才发布相应的共享边界。这两个事件之间的分配失败会使进程本地推进到位，并让部分持久化对象引用共享状态仍认为可用的槽位。

利用机理：当另一个工作进程稍后为不同的运行时对象重用这些槽位之一时，陈旧的共享元数据解析为错误类型的指针。这种不匹配会创建跨工作进程的类型混淆并破坏共享OPcache状态。Wiz团队使用此原语构建了针对WordPress的未经身份验证的RCE链。

攻击者获得的能力

通过这些漏洞，攻击者可以实现两种关键能力：

读取敏感数据：从PHP进程内存中读取密码、令牌、API密钥等敏感数据，无需实现远程代码执行
完全控制：实现未经身份验证的远程代码执行(RCE)

从理论漏洞到实际武器

AI在漏洞发现中的革命性作用

Wiz研究团队强调：\"这些漏洞在代码库中存在超过十年。将这些缺陷转化为工作利用需要链接多个错误并考虑PHP如何在请求之间分配和重用内存。内存错误是出了名的复杂；PHP版本、配置和应用程序行为的差异可能会破坏利用所依赖的假设。\"

AI时代的改变：有了AI，这不再是一个障碍。大型语言模型可以帮助使利用适应不同的PHP版本、配置和内存布局。通过测试和调试工具，模型可以分析失败并迭代调整，减少每个目标所需的专家工作量。这显著降低了跨不同部署扩展攻击的障碍。

AI工具链

Wiz研究团队在整个研究过程中使用了以下AI工具：

Wiz Atlas：该公司自研的AI漏洞研究平台
Gemini 4 Argon：谷歌的先进语言模型
GPT-5.6 Sol：OpenAI的模型

特别值得注意的是，Gemini 4 Argon在漏洞发现、利用开发、攻击检测和补丁验证方面做出了极高的贡献。

影响深远的启示

谷歌DeepMind安全主管Raluca Ada Popa评论道：\"使用Gemini 4 Argon，团队在Wiz展示了为什么前沿AI是网络防御的游戏规则改变者。十多年来，这些关键漏洞一直未被处理，因为漏洞发现和利用极其复杂。我们很高兴看到Gemini 4 Argon帮助防御者弥合差距，找到漏洞并帮助修补它们。\"