编译 | 郑丽媛 出品 | CSDN（ID：CSDNnews） 一个普通 Bug，放在程序员的待办列表里两年没人管，听起来似乎不是什么大事。毕竟，哪个软件项目没有一堆暂时修不完的小问题？ 只要不影响正常使用，很多 Bug 最后可能就这么被遗忘了。 但这次，情况有点不一样。 一个早在 2024 年就被发现的 PHP 内存错误，原本只被认为可能导致程序崩溃。没想到，今年在 AI 工具的帮助下，安全研究人员竟然从中挖出了一条攻击路径：黑客可以借此在服务器上执行任意代码，甚至直接控制服务器。 更麻烦的是，这次受影响的并不是什么冷门项目。 NASA、维基百科、白宫等网站，以及大量使用 WordPress、Drupal 等技术搭建的网站，都可能受到波及 ——这就是前不久引发网络安全领域关注的 PHP2Shell 漏洞 。 对于这起事件，网络安全初创公司 Tolmo 的 AI 安全研究负责人 Matt Suiche 判断道： “过去 40 年里由人类编写的所有遗留软件，其潜藏的 Bug 正在逐渐暴露出来。现在，是时候偿还这些技术债了。” 两年前没人当回事的 Bug，如今能让黑客控制服务器 先说说 PHP2Shell 是什么。PHP 诞生于 1994 年，最初是 Personal Home Page（个人主页）的缩写。 虽然如今各种新语言、新框架层出不穷，但 PHP 依然支撑着大量互联网网站运行 ，WordPress、Drupal 等常见网站系统都离不开它——据 W3Techs 的网站技术统计，如今 PHP 还是广泛使用的服务器端脚本语言， 支撑全球约七成网站业务。 而这次的 Bug，就出在 PHP 自身的底层代码中。 早在2024年，研究人员就向 PHP 基金会报告过一个与内存不足（Out-of-Memory，OOM）有关的 Bug。简单来说，就是程序分配给某段数据的内存空间不够用了。 通常情况下，这类错误会导致程序崩溃，虽然影响正常运行，但看起来并不会直接威胁系统安全。 所以，这个 Bug 一直没有得到足够重视。直到今年 7 月，在 OpenAI 发起的 Patch the Planet 安全计划支持下，网络安全公司 Calif对 PHP 展开了一次独立安全审计。 研究人员 Ryan Austin 借助 AI 工具，仅用了几天时间，就找到了这个内存错误背后的另一种可能性： 攻击者可以利用程序处理异常时留下的问题，进一步操纵内存，最终实现远程代码执行 （RCE）。 这下事情就完全不一样了：原本只是让程序崩溃的 Bug，现在却可能成为攻击者进入服务器的入口； 一旦利用成功，攻击者就能执行恶意代码，读取敏感数据，甚至安装恶意软件。 随后，Calif 又发现了其他可利用路径，并将问题报告给 PHP 基金会。网络安全公司 Wiz 和 OpenAI 也参与了后续验证与分析。最终，这些问题被归纳为 PHP2Shell，涉及两个严重的远程代码执行漏洞：CVE-2026-109618 和 CVE-2026-109619。 Wiz 还在 WordPress、Drupal 和 Joomla 等常见网站应用上进行了验证，发现攻击者甚至可能在不需要身份验证的情况下发动攻击。换句话说，这不只是某个网站的配置不当，而是 PHP 底层运行环境本身存在安全隐患。 AI 究竟做了什么？把专家都嫌麻烦的活儿干了 一个问题随之而来：这个 Bug 已经存在两年，为什么此前没人把它挖掘成严重漏洞，AI 却能在短时间内找到突破口？ 对此，哥伦比亚大学计算机科学副教授 Suman Jana 给出的解释很有意思： 不是这个 Bug 有多么神秘，而是利用它需要做大量非常具体、非常繁琐的推理。 想要真正利用内存错误，研究人员必须弄清楚目标程序的内存布局，找到可以跳转的位置，再计算应该按照什么顺序覆盖哪些数据，才能最终控制系统——这就像发现一扇门没有锁，并不等于你马上就能进屋，你还得搞清楚门在哪里、怎么打开，以及进去之后应该如何行动。 而 Suman Jana 认为，AI 在这种需要反复分析和推理的任务上表现得相当出色。他表示， 这并不是什么高深莫测的技术，只是需要大量令人头疼的细节分析，而 AI 恰好能很好地处理这些工作。 当然，他也强调，不能把这次成果简单归功于 AI 独立完成了漏洞挖掘：Calif、OpenAI 和 Wiz 的研究人员本身都具备丰富的网络安全知识和 PHP 技术背景，AI 更多是作为辅助工具，帮助他们更快地完成分析。 只是， 效率上的变化已经相当明显。 Suman Jana 表示， 原本只有最顶尖的 0.1% 专家才能完成的工作，现在借助 AI，他们可以挖掘出更多问题 ；而那些距离顶尖水平还有一定差距的研究人员，也有机会借助 AI 参与更复杂的安全研究，不必事事都从底层细
