AI 挖出潜伏十几年的 PHP 底层漏洞，PHP2Shell 事件全景复盘

AI æŒ–å‡ºæ½œä¼åå‡ å¹´çš„ PHP 底层漏洞，PHP2Shell äº‹ä»¶å ¨æ™¯å¤ç›˜ · AIHOT

æ•°å­—ç”Ÿå‘½å¡å ¹å ‹

· @

Khazix0918

· X

·

2026-10-22 10:33

2 小时前

精选

AI 评分

83

AI 导读

ä½œè€ å¤ç›˜ PHP2Shell 事件：两个 CVSS 满分定为 9.2 分的 PHP è¿œç¨‹ä»£ç æ‰§è¡Œæ¼æ´žï¼ˆCVE-2026-109618 和 CVE-2026-109619）在补丁发布前泄露，攻击演示视频外流，多国政府网站预防性下线，OpenAI 认领漏洞由 GPT-5.6 Sol è¾ åŠ©å‘çŽ°ã€‚

推荐理由

æ–‡ç« æ¢³ç†äº† PHP2Shell 从泄露到修复的完整时间线，指出 AI å¤§å¹ åŽ‹ç¼©æ¼æ´žå‘çŽ°æˆæœ¬ï¼Œæ”»é˜²èŠ‚å¥å¤±è¡¡æˆä¸ºæ–°çš„åº•å±‚çŸ›ç›¾ã€‚

另外 1 家也报道了

正文 · 原文

https://x.com/i/article/2113093470856572928

【X 长文】AIæŒ–å‡ºè—äº†åå‡ å¹´çš„åº•å±‚PHPæ¼æ´žï¼Œç½‘ç»œå®‰å ¨ä¹Ÿå›žä¸åŽ»é‚£ä¸ªæ—§æ—¶ä»£äº†ã€‚

æ˜¨æ™šï¼Œå¯èƒ½æ˜¯ç½‘ç»œå®‰å ¨çš„å™©æ¢¦ã€‚

ä¹Ÿæ˜¯å¾ˆå¤šå·¥ç¨‹å¸ˆçš„ï¼Œä¸çœ ä¹‹å¤œã€‚

只能说，我们整个时代和社会，在AIçš„åŠ é€Ÿä¸‹ï¼Œéƒ½ä¼šå˜å¾—ç„¦å¤´çƒ‚é¢ä¸­ã€‚

äº‹æƒ æ˜¯è¿™æ ·çš„ã€‚

é¦–å ˆæ˜¯å‰å¤©ï¼Œä¹Ÿå°±æ˜¯10月20日夜里11点多，Hacker News上突然冒出来一条帖子。

æ ‡é¢˜å·¨å“äººï¼Œè¯´æ˜¯ä¸¤ä¸ªCVSS 10.0的PHPè¿œç¨‹ä»£ç æ‰§è¡Œæ¼æ´žï¼Œå³å°†å ¬å¼€ã€‚

发帖的人自己写着，除了“信源：信我就行”（trust me, bro）之外，我没有任何证据，然后甚至还附上了漏洞编号。

不过呢，这种帖子，网上一天能刷到一百条，没人当真。

ä½†è¿™ä¸€æ¡ï¼Œå‡ ä¸ªå°æ—¶åŽè¢«ä¸€å®¶å«watchTowrçš„å®‰å ¨å ¬å¸ç¡®è®¤äº†ã€‚ä»–ä»¬çš„åŽŸè¯æ˜¯ï¼šâ€œæˆ‘ä»¬æœ¬æ¥éƒ½è¯¥ç­‰åˆ°å‘¨å››çš„ã€‚â€

è¿™ä¸€ä¸‹å°±å°´å°¬äº†ï¼Œå› ä¸ºè¿™ä¸ªæ¼æ´žæ˜¯å·¨å¤§çš„ï¼Œå·²ç»å¤„äºŽæ³„å¯†çŠ¶æ€äº†ï¼ŒçœŸçš„æœ‰å¿ƒäººå·²ç»å¯ä»¥å¼€å§‹åˆ©ç”¨ï¼Œä½†PHPå®˜æ–¹çš„å®‰å ¨æ›´æ–°è¿˜åœ¨æ‰“åŒ ä¸­ï¼ŒåŽŸå®šäºŽ22å·æ™šä¸Šæ›´æ–°ï¼Œå¯è¿™çž¬é—´å°±æœ‰ä¸¤å¤©çš„ç©ºæ¡£ï¼Œå¦‚æžœè¿™ä¸¤å¤©ä¹‹å† æ¼æ´žè¢«åˆ©ç”¨ä¸”è¢«æ”»ç ´ï¼ŒåŽæžœä¸å ªè®¾æƒ³ã€‚

又过了一个多小时，PHP官方急忙发了预告：原定10月22æ—¥çš„å®‰å ¨æ›´æ–°ï¼Œè¢«è¿«æå‰åˆ°21日晚上10点（北京时间），尽可能的压缩时间。

结果，官方预告刚发出去，又出了个更离谱的事。

ä¸€å®¶å‚ä¸Žå‘çŽ°è¿™ä¸¤ä¸ªæ¼æ´žçš„å®‰å ¨å ¬å¸ï¼Œå«Califï¼Œå± ç„¶ä¸å°å¿ƒæŠŠä¸€æ®µæ”»å‡»æ¼”ç¤ºè§†é¢‘å‘åˆ°äº†ç½‘ä¸Šï¼Œå 分的说明了，这个世界就是一个巨大的草台班子。

è§†é¢‘é‡Œï¼Œä»–ä»¬å±•ç¤ºäº†å¦‚ä½•åˆ©ç”¨è¿™äº›æ¼æ´žï¼Œåœ¨å¤šä¸ªç›®æ ‡ä¸ŠæˆåŠŸè¿è¡Œæ”»å‡»éªŒè¯ç¨‹åºï¼Œè™½ç„¶è§†é¢‘å¾ˆå¿«å°±åˆ äº†ï¼Œä½†æ²¡åŠžæ³•ï¼Œæ‰‹å¿«å·²ç»æœ‰äººä¿å­˜ä¸‹æ¥ï¼Œå¼€å§‹åœ¨ç¤¾åŒºä¸Šå¤§è‚†ä¼ æ’­ã€‚

这下好了。

åŽŸæœ¬å¤§å®¶åªçŸ¥é“æœ‰ä¸¤ä¸ªä¸¥é‡æ¼æ´žï¼Œè¿žå ·ä½“æ€Žä¹ˆæ”»å‡»éƒ½ä¸çŸ¥é“ï¼ŒçŽ°åœ¨ï¼Œè¿žæ”»å‡»æ¼”ç¤ºè§†é¢‘éƒ½æœ‰äº†ï¼Œå°±å·®æ‰‹æŠŠæ‰‹æ•™å­¦äº†ã€‚

然后在各种离谱的AIåŠ é€Ÿä¹‹ä¸‹ï¼Œå®‰å ¨ç ”ç©¶äººå‘˜å¼€å§‹åŠ é€Ÿå¤çŽ°ï¼Œç½‘ä¸Šå„ç§å·ç§°èƒ½åˆ©ç”¨æ¼æ´žçš„ä»£ç ä¹Ÿå¼€å§‹å†’å‡ºæ¥ã€‚

è€Œè¿™æ—¶å€™ï¼Œè·ç¦»å¯ä»¥ä¿®å¤å®‰å ¨æ¼æ´žçš„è¡¥ä¸æŽ¨å‡ºç»™æ‰€æœ‰äººå¯è¢«æ­£å¼ä¸‹è½½ï¼Œè¿˜æœ‰ï¼Œ16个小时。

生死时速的16个小时，如果是以前，恶意之人，可能还没办法在这么短的时间里发起大规模的攻击，但是如今，是AI时代了，16个小时，对于用AIåŠ é€ŸåŽçš„äººä»¬æ¥è¯´ï¼Œå¥½åƒæœ‰ç‚¹å¤ªé•¿äº†ã€‚

更离谱的是，21日下午3点41åˆ†ï¼Œä¸€å®¶åšå®¹å™¨é•œåƒçš„å ¬å¸ï¼Œæ¯”çº¦å®šæ—¶é—´æå‰äº†6个多小时，把已经打好补丁的镜像发了出去，PHPåŸºé‡‘ä¼šç›´æŽ¥å¼€éª‚äº†ï¼šâ€œæ— è§†äº†å¤šæ–¹æ•°å‘¨çš„åè°ƒå·¥ä½œã€‚â€

å› ä¸ºè¿™å¹´å¤´ï¼Œæ‡‚è¡Œçš„äººæ‹¿æ–°æ—§ä¸¤ç‰ˆä»£ç è®©AI直接暴力对比一下，直接就知道漏洞在哪了，用AIç ”ç©¶è¡¥ä¸ï¼Œç”¨AI逆向分析漏洞，再用AI开发攻击程序。

ä½†å¤§é‡æ­£å¸¸ç½‘ç«™çš„ç®¡ç†å‘˜ï¼Œå´è¿˜æ²¡æœ‰èƒ½å¤Ÿç›´æŽ¥å®‰è£ çš„æ›´æ–°åŒ ï¼Œè¿™æ„å‘³ç€æ”»å‡»è€ ç›´æŽ¥å¼€äº†å¤©çœ¼ï¼Œç›´æŽ¥æŠ¢è·‘ã€‚

于是，崩溃发生了。

21æ—¥è¿™ä¸€å¤©ï¼Œè·å °çš„æ•°å­—èº«ä»½ç³»ç»Ÿã€è®®ä¼šç½‘ç«™ï¼Œè¿žå›½å®¶ç½‘ç»œå®‰å ¨ä¸­å¿ƒè‡ªå·±çš„ç½‘ç«™ï¼ŒæŒ¨ä¸ªä¸‹çº¿ã€‚

èŠ¬å °æ”¿åºœçš„ITæœåŠ¡å•†ä¹Ÿå ³æŽ‰äº†ä¸€æ‰¹æœåŠ¡ï¼Œç¾Žå›½ä¸€å®¶åšäººåŠ›èµ„æºè½¯ä»¶çš„å ¬å¸ BambooHRç›´æŽ¥åœæœï¼Œæé†’å®¢æˆ·å‘è–ªç›¸å ³ä¸šåŠ¡å¯èƒ½å—åˆ°å½±å“ï¼Œæ—¥æœ¬çš„ niconico和pixivè¿›å ¥ç´§æ€¥ç»´æŠ¤ã€‚

å› ä¸ºæ—¥æœ¬çš„PHP网站实在太多了，甚至高市早苗都去X上发文，建议预防性下线，直到晚上10点的PHP更新推送。

ä¸€ä¸ªç¼–ç¨‹è¯­è¨€çš„æ¼æ´žï¼Œè®©é«˜å¸‚æ—©è‹—åŠå¤œå‘æŽ¨ï¼Œè®©å¥½å‡ ä¸ªå›½å®¶çš„æ”¿åºœä¸»åŠ¨æ‹”ç½‘çº¿ï¼Œè¿™ç§ç”»é¢ï¼Œè¯´å®žè¯ï¼Œæˆ‘çœŸæ²¡è§è¿‡ã€‚

å°±è¿™æ ·ï¼Œä¸–ç•Œè·Œè·Œæ’žæ’žï¼Œæ’‘è¿‡äº†è¿™åå‡ ä¸ªå°æ—¶ã€‚

æ— äººçŸ¥é“ï¼Œåœ¨è¿™åå‡ ä¸ªå°æ—¶ä¸­ï¼Œæ°´ä¸‹çš„é»‘æš—é¢é‡Œï¼ŒèŽ·å¾—äº†ä»€ä¹ˆã€‚

晚上10点，PHPå®‰å ¨æ›´æ–°ä¸Šçº¿ï¼Œå¯¹äºŽè¿™ä¸¤é¡¹ä¸¥é‡æ¼æ´žæ¥è¯´ï¼Œæ²¡æœ‰ä»»ä½•å®Œæ•´çš„ç¼“è§£æŽªæ–½ï¼Œæ›´æ–°æ˜¯å”¯ä¸€å®‰å ¨çš„é€‰æ‹©ã€‚

同时，OpenAI出来认领，PHPè¿™ä¸¤ä¸ªå²è¯—çº§çš„å®‰å ¨æ¼æ´žï¼Œæ˜¯GPTè¾ åŠ©å‘çŽ°çš„ã€‚

è€Œè¿™ä¸ªæ¼æ´žï¼Œè¿˜ä¸æ˜¯å•¥æ–°æ¨¡åž‹æ•´çš„ï¼Œæ˜¯å‡ ä¸ªæœˆå‰ï¼Œç”¨GPT-5.6 Solå‘çŽ°çš„ï¼Œæ‰€ä»¥å¤§å®¶å°±å¯ä»¥æƒ³è±¡ï¼Œå¦‚æžœæ˜¯è¿™äº›å¤§æ¨¡åž‹å ¬å¸çš„æœªå‘å¸ƒçš„å† éƒ¨çš„æ›´å¼ºæ¨¡åž‹åŽ»æ‰«çš„è¯ï¼Œå ¨ä¸–ç•Œçš„å„ç§ç½‘ç»œåŸºå»ºï¼Œé‚£å¯èƒ½çœŸçš„å ¨éƒ½æœ‰é—®é¢˜ã€‚ã€‚ã€‚

同时，OpenAI这次也紧急发布了一个skillï¼Œæ¥è¾ åŠ©ä½ å‘çŽ°ï¼Œä½ çš„ç½‘ç«™æ˜¯å¦ä¼šå—åˆ°å½±å“ã€‚

è¿™é‡Œå¸Œæœ›å¤§å®¶ä¸€å®šè¦æ³¨æ„ï¼Œå¦‚æžœä½ è‡ªå·±çš„ç½‘ç«™ä¸­ï¼Œä½¿ç”¨äº†PHPï¼Œå¦‚æžœä½ è¿˜ä¸çŸ¥é“è¿™äº›æ¶ˆæ¯ï¼Œè¯·çœ‹åˆ°çš„ç¬¬ä¸€æ—¶é—´ï¼Œç«‹åˆ»ï¼Œç«‹åˆ»æ›´æ–°ç‰ˆæœ¬ï¼Œä¹Ÿå¸Œæœ›èƒ½æ‰©æ•£ç»™ä½ çš„æœ‹å‹ã€‚

我知道，很多人会说，不就是一个漏洞吗？有什么大惊小怪的。

é‚£æˆ‘è§‰å¾—ï¼Œè¦ç†è§£è¿™æ¬¡ä¸ºä»€ä¹ˆé—¹è¿™ä¹ˆå¤§ï¼Œå ¨çƒååº”ä¸ºå•¥è¿™ä¹ˆè¿‡åº¦ï¼Œå¾—å ˆçŸ¥é“PHP是个什么东西。

我也不是啥专家，我只能用我知道的语言，尽力描述一下。

é¦–å ˆï¼Œæˆ‘ä»¬å¯èƒ½éƒ½çŸ¥é“ï¼Œä½ åœ¨æµè§ˆå™¨é‡Œç‚¹å¼€ä¸€ä¸ªç½‘é¡µï¼ŒæœåŠ¡å™¨é‚£è¾¹å¾—çŽ°åœºç®—å‡ºæ¥è¿™ä¸€é¡µè¯¥æ˜¾ç¤ºä»€ä¹ˆï¼Œæ¯”å¦‚ä½ æ˜¯è°ï¼Œè´­ç‰©è½¦é‡Œæœ‰ä»€ä¹ˆï¼Œè¿™ç¯‡æ–‡ç« ä¸‹é¢æœ‰å‡ æ¡è¯„è®ºç­‰ç­‰ï¼Œé‚£å¹²è¿™ä¸ªæ´»çš„ç¨‹åºï¼Œå«åŽç«¯ã€‚

而PHP，就是写后端最常用的语言之一。

ä¸è¿‡å› ä¸ºå¤ªè€äº†ï¼ŒçŽ°åœ¨å¾ˆå¤šå ¬å¸çš„æ–°äº§å“æˆ–è€ æ–°æŠ€æœ¯æ ˆéƒ½ä¸å¤ªç”¨äº†ï¼Œå¹¶ä¸”æœ‰æ„æ€çš„æ˜¯ï¼ŒPHP在程序员圈子里一直是被嘲的对象，“PHPæ˜¯ä¸–ç•Œä¸Šæœ€å¥½çš„è¯­è¨€â€ï¼Œå½“äº†åå‡ å¹´çš„æ¢—ï¼Œå¾ˆå¤šäººéƒ½è§‰å¾—å®ƒæ˜¯ä¸Šä¸ªä¸–çºªçš„ä¸œè¥¿ã€‚

ä½†åœ¨å ¨çƒï¼Œç”¨PHPæ­çš„ç½‘ç«™ï¼Œä¾ç„¶å æ®ç€70%ï¼Œå³ä½¿æ˜¯æ–°ä¸€ç‚¹çš„å›½å† ï¼Œè™½ç„¶Java极多，以2026å¹´10æœˆçš„æ•°æ®çœ‹ï¼Œä¾ç„¶è¿˜æœ‰è¶ è¿‡ä¸€åŠçš„ç½‘ç«™ï¼Œæ˜¯ç”¨PHP搭的。

人人都嘲它，但说实话，也人人都离不开它。

ä½ æ³¨å†Œè¿‡çš„è®ºå›ã€å°åº—çš„ä»˜æ¬¾é¡µã€å¾ˆå¤šåœ°æ–¹æ”¿åºœçš„åŠžäº‹ç½‘ç«™ã€å ¬å¸å† éƒ¨çš„æŠ¥é”€ç³»ç»Ÿï¼Œè¿˜æœ‰è·¯ç”±å™¨å’ŒNAS的管理后台，大概率都有一个跑在PHP上的。

å®ƒå°±åƒåŸŽå¸‚åœ°ä¸‹çš„è€æ°´ç®¡ï¼Œå¹³æ—¶ç¡®å®žæ²¡äººæƒ³èµ·å®ƒï¼Œä¸€æ—¦çˆ†äº†ï¼Œæ•´æ¡è¡—éƒ½èƒ½å–·çš„å ¨æ˜¯å±Žã€‚

而这一次，就是PHP本身爆掉了。

这次的漏洞有个名字，叫PHP2Shell。Shellå°±æ˜¯æœåŠ¡å™¨çš„å‘½ä»¤è¡Œï¼Œæ‹¿åˆ°å®ƒï¼Œä½ å°±å¯ä»¥è®¤ä¸ºçº¦ç­‰äºŽæ‹¿åˆ°äº†è¿™å°æœåŠ¡å™¨çš„æŽ§åˆ¶æƒäº†ï¼Œæ‰€ä»¥è¿™ä¸ªåå­—çš„æ„æ€æžå ¶ç›´æŽ¥ï¼Œä»ŽPHPï¼Œç›´é€šä½ çš„æœåŠ¡å™¨ã€‚

å®ƒåŒ å«ä¸¤ä¸ªç¼–å·ï¼ŒCVE-2026-109618和CVE-2026-109619。

CVEä½ å¯ä»¥ç†è§£æˆæ¼æ´žçš„èº«ä»½è¯å·ï¼Œå ¨çƒç»Ÿä¸€ã€‚

严重程度用 CVSS 打分，满分10åˆ†ï¼Œæœ€å¼€å§‹æ³„éœ²ç‰ˆæœ¬æ˜¯æ»¡åˆ†ï¼Œä½†æ˜¯æœ€åŽå ¶å®žç»™çš„æ˜¯9.2分。

è¦è®²æ¸ æ¥šè¿™ä¸¤ä¸ªæ¼æ´žå‘¢ï¼Œè¿˜æ˜¯å¾—å ˆè¯´ä¸€ä¸ªæœ€è¿‘æ‰€æœ‰äººéƒ½å¾ˆè‚‰ç–¼çš„æ¦‚å¿µï¼š

å† å­˜ã€‚

å°±æ˜¯ç¨‹åºè·‘èµ·æ¥çš„æ—¶å€™ï¼Œè¦ä¸åœåœ°å‘ç³»ç»Ÿâ€œå€Ÿâ€å† å­˜ï¼Œç”¨æ¥å­˜æ”¾ä¸´æ—¶æ•°æ®ï¼Œç„¶åŽç”¨å®Œå†â€œè¿˜â€å›žåŽ»ï¼ŒPHP的解释器是用C语言写的，Cè¯­è¨€è·‘å¾—å¿«ï¼Œä½†å€Ÿå’Œè¿˜ï¼Œä¾ç„¶å ¨é ç¨‹åºå‘˜è‡ªå·±è®°è´¦ï¼Œç³»ç»Ÿå¯ä¸ç®¡ä½ ã€‚

所以这个账一旦记错，就会出事了。

第一个漏洞，CVE-2026-109619，专业名词叫“释放后使用”（use-after-free）。

ä¸¾ä¸ªä¾‹å­ï¼Œä½ å¼€äº†ä¸€å®¶é ’åº—ï¼Œç¬¬ä¸€ä¸ªå®¢äººæ¥å¯„å­˜è¡ŒæŽï¼ŒæœåŠ¡å‘˜æŠŠä»–çš„ä¸œè¥¿æ”¾è¿›äº†18号柜子，并且在本子上记了下来。

åŽæ¥å®¢äººèµ°äº†ï¼ŒæŸœå­æ¸ ç©ºï¼Œé‡æ–°ç»™ç¬¬äºŒä¸ªäººç”¨äº†ã€‚

ç»“æžœé—®é¢˜æ¥äº†ï¼ŒæœåŠ¡å‘˜å¿˜è®°æŠŠæœ¬å­ä¸ŠåŽŸæ¥çš„è®°å½•åˆ æŽ‰äº†ã€‚

第二个人刚把自己的东西放进去，服务员就拿着旧记录，跑去打开18号柜子，还以为里面是第一个人的行李。

这下就麻烦了，他可能看到了第二个人的东西，甚至还有可能把里面的东西给弄坏了。

PHPè¿™æ¬¡çš„é—®é¢˜ï¼Œå°±å‡ºåœ¨ç±»ä¼¼çš„åœ°æ–¹ï¼ŒåŽŸæœ¬å·²ç»å½’è¿˜çš„å† å­˜ï¼Œåˆè¢«æ‹¿åŽ»å­˜æ”¾æ–°çš„æ•°æ®ï¼Œä½†PHP还留着指向原来位置的旧记录。

äºŽæ˜¯ï¼Œå®ƒä»¥ä¸ºè‡ªå·±åœ¨å¤„ç†ä¸Šä¸€ä»½æ•°æ®ï¼Œå®žé™ ä¸Šç¢°åˆ°çš„æ—©å°±æˆäº†å¦ä¸€ä»½æ•°æ®ï¼Œæ‰€ä»¥ï¼Œå¦‚æžœæ”»å‡»è€ èƒ½ç²¾å¿ƒæ“çºµè¿™ä¸ªè¿‡ç¨‹ï¼Œå°±æœ‰æœºä¼šè¯»å–ã€ç¯¡æ”¹åŽŸæœ¬ä¸è¯¥ç¢°çš„æ•°æ®ï¼Œç”šè‡³è¿›ä¸€æ­¥æŽ§åˆ¶æœåŠ¡å™¨ã€‚

这就叫释放后使用，英文叫Use-After-Free。

è½»ä¸€ç‚¹ï¼Œèƒ½è¯»åˆ°æœåŠ¡å™¨å† å­˜é‡Œåˆ«çš„ç”¨æˆ·çš„å¯†ç ã€ä»¤ç‰Œã€APIå¯†é’¥ï¼Œä¸¥é‡ä¸€ç‚¹çš„è¯ï¼Œç²¾å¿ƒå¸ƒç½®å† å­˜ä»¥åŽï¼Œå¯ä»¥ç”¨ä½ è¿™å°æœåŠ¡å™¨ï¼Œç›´æŽ¥æ‰§è¡Œä»–è‡ªå·±çš„ä»£ç ï¼Œé‚£åŽæžœå°±ä¸å ªè®¾æƒ³äº†ã€‚

ç¬¬äºŒä¸ªæ´žï¼šå† å­˜ä¸å¤Ÿæ—¶çš„ç´§æ€¥æ’¤ç¦»ï¼Œè¿™æ˜¯CVE-2026-109618。

è¿™ä¸ªæ¼æ´žæ›´æœ‰æ„æ€ï¼Œæˆ‘ä»¬è¿˜æ˜¯æ‹¿é ’åº—ä¸¾ä¾‹ã€‚

å‡è®¾é ’åº—é‡Œæœ‰ä¸€ä¸ªè¡ŒæŽå¯„å­˜å¤„ï¼Œæ¯æ¬¡å®¢äººè¿‡æ¥å¯„å­˜è¡ŒæŽï¼ŒæœåŠ¡å‘˜éƒ½è¦å ˆåœ¨ç™»è®°æœ¬ä¸ŠæŠŠæ•°é‡åŠ 1，然后再把行李放到柜子里。

前面9件都很顺利，到了第10件，服务员刚刚把数量从9改成10，正准备放行李的时候。

突然一下，停电了，就导致行李还没放进去，整个系统就被迫中断了。

ç»“æžœæ›´ç¦»è°±çš„æ¥äº†ï¼Œé ’åº—å¯åŠ¨ç´§æ€¥æ¸ ç†ç¨‹åºï¼Œæ¸ ç†äººå‘˜æ‹¿ç€ç™»è®°æœ¬ä¸€çœ‹ï¼šä»Šå¤©ä¸€å ±å­˜äº†10件行李。

äºŽæ˜¯æŒ‰ç §ç™»è®°æœ¬ä¸Šçš„æ•°é‡ï¼Œä¸€ä¸ªä¸€ä¸ªæ£€æŸ¥ã€‚

但问题是，第10ä»¶è¡ŒæŽæ ¹æœ¬æ²¡æ”¾è¿›åŽ»å•Šï¼Œé‚£ä¸ªä½ç½®é‡Œé¢å¯èƒ½è¿˜æ˜¯ä¸€äº›ä¹±ä¸ƒå «ç³Ÿçš„æ—§ä¸œè¥¿ã€‚

å¯æ¸ ç†äººå‘˜å“ªé‡ŒçŸ¥é“ï¼Œä¹Ÿä¸ç®¡é‚£äº›ï¼Œç §ç€ç™»è®°æœ¬å°±æŠŠå®ƒå½“æˆæ­£å¸¸è¡ŒæŽå¤„ç†äº†ã€‚

这下，整个系统就可能出问题了。

PHP这次的第二个漏洞，就是类似的道理。

å®ƒåœ¨æ•´ç†æ•°æ®çš„æ—¶å€™ï¼Œä¼šå ˆæŠŠæ•°é‡åŠ 1ï¼Œå†æŠŠçœŸæ­£çš„æ•°æ®å­˜è¿›åŽ»ï¼Œå¦‚æžœæ°å¥½åœ¨è¿™ä¸¤æ­¥ä¹‹é—´è€—å°½äº†å† å­˜ï¼ŒPHP就会紧急中断操作。

ä½†åŽé¢è´Ÿè´£æ¸ ç†çš„ç¨‹åºï¼Œä»ç„¶æŒ‰ç §é‚£ä¸ªå·²ç»åŠ äº†1的数量去处理数据。

ç»“æžœï¼Œå°±å¯èƒ½æŠŠä¸€äº›æ ¹æœ¬æ²¡æœ‰æ­£ç¡®åˆå§‹åŒ–çš„å† å­˜ï¼Œå½“æˆæ­£å¸¸æ•°æ®æ¥ä½¿ç”¨ã€‚

å¦‚æžœæ”»å‡»è€ èƒ½å¤Ÿç²¾å¿ƒåˆ¶é€ è¿™ç§æƒ å†µï¼Œå°±æœ‰æœºä¼šè¿›ä¸€æ­¥æŽ§åˆ¶æœåŠ¡å™¨ã€‚

è€Œä¸”æœ€ææ€–çš„æ˜¯ï¼Œåœ¨æŸäº›æœåŠ¡å™¨é ç½®ä¸‹ï¼Œè¿™ä¸ªè¿‡ç¨‹ç”šè‡³å¯ä»¥å‘ç”Ÿåœ¨ç½‘ç«™è‡ªå·±çš„ä¸šåŠ¡ä»£ç å¼€å§‹è¿è¡Œä¹‹å‰ã€‚

ä½ è‡ªå·±å†™çš„ç½‘ç«™å†å°å¿ƒï¼Œå¯èƒ½è¿žå‡ºæ‰‹çš„æœºä¼šéƒ½æ²¡æœ‰ã€‚

å¯¹æ™®é€šäººæœ‰å ³ç³»å—ï¼Ÿå½“ç„¶æœ‰ï¼Œä½ è‡ªå·±çš„ç”µè„‘å’Œæ‰‹æœºä¸ä¼šå—å½±å“ï¼Œå—å½±å“çš„æ˜¯ä½ ç”¨è¿‡çš„é‚£äº›ç½‘ç«™ï¼Œå¦‚æžœæŸä¸ªæ²¡äººç»´æŠ¤çš„å°ç«™è¢«é»‘äº†ï¼Œä½ åœ¨ä¸Šé¢ç•™ä¸‹çš„è´¦å·ã€å¯†ç å’Œæ‰‹æœºå·ï¼Œè¿˜æœ‰æ‰€æœ‰çš„ä¿¡æ¯ï¼Œå°±å¯èƒ½è·Ÿç€æ³„éœ²ã€‚

这也是为什么很多工程师这两天又在说，Cè¯­è¨€è¿™ç§å† å­˜å ¨é äººç®¡çš„ä¸œè¥¿ï¼Œè¿Ÿæ—©è¦å‡ºè¿™ç§äº‹ï¼ŒåƒRustè¿™æ ·çš„å† å­˜å®‰å ¨è¯­è¨€ï¼Œåœ¨ç¼–è¯‘é˜¶æ®µå°±ä¸è®©ä½ çŠ¯è¿™ç±»é”™ï¼Œæ‰€ä»¥OpenAI这次专门赞助了 Rust åŸºé‡‘ä¼šï¼Œä¸æ˜¯æ²¡æœ‰åŽŸå› çš„ã€‚

å›žåˆ°è¿™ä¸¤ä¸ªæ¼æ´žï¼Œå ¶å®žå¾€å‰å€’è ¾åŽ†å²ï¼Œæˆ‘ä»¬ä¼šå‘çŽ°è¿™ä¸¤ä¸ªæ¼æ´žæ ¹æœ¬ä¸æ˜¯ä»€ä¹ˆæ–°ä¸œè¥¿ã€‚

2004å¹´çš„æ—¶å€™ï¼Œå¾·å›½å®‰å ¨ç ”ç©¶å‘˜Stefan Esser发现了PHPç¬¬ä¸€ä¸ªè·Ÿå† å­˜ä¸Šé™æœ‰å ³çš„è¿œç¨‹æ¼æ´žï¼Œå½“æ—¶è¿™ç±»æ”»å‡»çš„åˆ©ç”¨æ–¹æ³•éƒ½æ²¡å ¬å¼€ï¼Œåªåœ¨å°‘æ•°å®‰å ¨å ¬å¸æ‰‹é‡Œç§˜å¯†æµä¼ ã€‚

è¿™ä¸ªé—®é¢˜ç¡®å®žä¿®äº†ï¼Œä½†å®ƒçš„å „å¼Ÿå§å¦¹ä»¬ï¼Œéƒ½è¿˜åœ¨ã€‚

2024年，PHP基金会拿到了德国Sovereign Tech Agency的资金支持，通过OSTIFåè°ƒï¼Œè¯·æ³•å›½å®‰å ¨å ¬å¸Quarkslab给PHPåšäº†ä¸€æ¬¡å¤šå¹´æœªæœ‰çš„å¤–éƒ¨å®‰å ¨å®¡è®¡ã€‚

ä¿®å ¶ä¸­ä¸€ä¸ªé—®é¢˜çš„æ—¶å€™ï¼ŒåŸºé‡‘ä¼šé›‡çš„ä¸€ä½æ ¸å¿ƒå¼€å‘è€ å‘çŽ°äº†ç±»ä¼¼çš„æ¼æ´žï¼Œä»–ç†è®ºä¸Šè§‰å¾—èƒ½è¢«åˆ©ç”¨ï¼Œä½†è¯´å®žè¯ï¼Œä»–ä¹Ÿæ‰¾ä¸åˆ°ä¸€æ¡å ·ä½“çš„æ”»å‡»è·¯å¾„ã€‚

ç„¶åŽä¿®å¤æ–¹æ¡ˆå°±è¿™ä¹ˆæ‹–ç€ï¼Œå®‰å ¨å›¢é˜Ÿåœ¨å‡ ç§æ–¹æ¡ˆä¹‹é—´æ¥å›žæ‹‰æ‰¯ï¼Œåœäº†åˆå¯ï¼Œå¯äº†åˆåœï¼ŒåŽæ¥PHPåŸºé‡‘ä¼šåœ¨å¤ç›˜é‡Œè‡ªå·±æ‰¿è®¤ï¼Œè¿™æ˜¯å®‰å ¨å›¢é˜Ÿçš„å†³ç­–æµç¨‹å’Œäººæ‰‹ä¸è¶³é€ æˆçš„æ‰€è°“çš„â€œç»“æž„æ€§å¤±è´¥â€ã€‚

然后就到了 2026 年。

今年5月，开头的那个叫Califçš„å®‰å ¨å ¬å¸æ­äº†ä¸ªç³»åˆ—ï¼Œå«â€œAIå‘çŽ°æ¼æ´žæœˆâ€ã€‚å ¶ä¸­ä¸€ç¯‡ç”¨Claude在PHP里挖出了一个21å¹´å‰çš„å† å­˜æ¼æ´žã€‚

然后，AIç»§ç»­åŠ é€Ÿï¼ŒåŠ¿ä¸å¯æŒ¡ã€‚

7月30日，Calif在OpenAIçš„å®‰å ¨è®¡åˆ’â€œPatch the Planet”里，开始审计 PHP。

ä» ä» 2天时间，8月1æ—¥ï¼Œä»–ä»¬æ‰¾åˆ°äº†ç¬¬ä¸€ä¸ªèƒ½è§¦å‘â€œå† å­˜è€—å°½â€çš„å ¥å£ã€‚

8月11日，Calif把漏洞报给了PHP，同一天，OpenAIè‡ªå·±çš„ç ”ç©¶äººå‘˜ä¹Ÿç‹¬ç«‹æŠ¥ä¸Šäº†åŒä¸€ä¸ªé—®é¢˜ã€‚

8月15日，PHP确认，Calif交上来的攻击演示确实能跑通。

8月24日和9月18æ—¥ï¼Œå®‰å ¨å ¬å¸Wiz和OpenAIåˆå ˆåŽæŠ¥ä¸Šäº†æ›´å¤šæ”»å‡»è·¯å¾„ã€‚

å› ä¸ºè¿™ä¸¤ä¸ªæ¼æ´žå½±å“è¿‡äºŽå·¨å¤§ï¼Œæ¶‰åŠåˆ°PHPåº•å±‚ï¼Œå¼€å§‹ç»„ç»‡å ¨ä¸–ç•Œçš„åˆä½œä¼™ä¼´ï¼Œä¸€èµ·ååŒä¿®å¤ï¼Œäº‘åŽ‚å•†ã€ç³»ç»Ÿå‘è¡Œå•†ã€å®‰å ¨å ¬å¸éƒ½éœ€è¦æå‰å‡†å¤‡ï¼Œå¦åˆ™å ¬å¼€æ¼æ´žåè€Œå¯èƒ½ç»™æ”»å‡»è€ åˆ›é€ æœºä¼šã€‚

这个就是血淋淋的对比，2024å¹´ï¼Œä¸€ä¸ªæ ¸å¿ƒå¼€å‘è€ æ‰¾äº†å¾ˆä¹ ä¹Ÿæ²¡æ‰¾åˆ°å¦‚ä½•åˆ©ç”¨è¿™ä¸ªæ¼æ´žï¼Œ2026å¹´ï¼Œä»Žå¼€å§‹å®¡è®¡åˆ°æ‰¾åˆ°ç¬¬ä¸€ä¸ªå ¥å£ï¼Œåªç”¨äº†ä¸¤å¤©ã€‚

è€Œæ›´åŠ ç¦»è°±çš„äº‹åœ¨äºŽã€‚

æ•´ä¸ªäº’è”ç½‘ï¼Œæ˜¯ç«‹åœ¨ä¸€å †æ²¡äººä»˜é’±ã€ä¹Ÿæ²¡å‡ ä¸ªäººè®¤çœŸçœ‹çš„ä»£ç ä¸Šçš„ã€‚

è¿™æ¬¡ä¹Ÿä¸€æ ·ï¼ŒPHP åŸºé‡‘ä¼šè‡ªå·±æ‰¿è®¤ï¼Œè¿™ä¸ªå† å­˜é—®é¢˜2024å¹´å°±æœ‰è‹—å¤´ï¼Œæ‹–åˆ°ä»Šå¤©ï¼Œä¸€ä¸ªé‡è¦åŽŸå› å°±æ˜¯äººæ‰‹ä¸å¤Ÿï¼Œåœ¨å¤ç›˜çš„æœ€åŽï¼Œä»–ä»¬å‡ ä¹Žæ˜¯åœ¨æ±‚åŠ©ï¼Œå¸Œæœ›å ¬å¸ã€ä¸»æœºå•†å’Œæ”¿åºœæ¥èµžåŠ©ã€‚

Hacker News上有人翻出了Debian上负责给PHPæ‰“åŒ çš„ç»´æŠ¤è€ çš„èµžåŠ©é¡µï¼Œåæ§½äº†ä¸€å¥ï¼Œä¸€ä¸ªæœˆè¿ž700ç¾Žå ƒéƒ½ä¸åˆ°ï¼Ÿ

è€Œå ¨ä¸–ç•Œçš„æœåŠ¡å™¨ï¼ŒçœŸçš„ï¼Œå°±åœ¨ç­‰è¿™äº›äººåŠå¤œèµ·æ¥å‘ç‰ˆã€‚

可既然这些基础软件这么脆弱，为什么这么多年，互联网大体上还是好好的？

åŽŸå› ç‰¹åˆ«ç®€å•ï¼Œå°±è·Ÿå‰æ®µæ—¶é—´çš„çˆ†ç«çš„REAé€†å‘ä¸€æ ·ã€‚

å› ä¸ºæ‰¾æ¼æ´žå¤ªè´µäº†ã€‚

å°±åƒå¾ˆå¤šå•†ä¸šè½¯ä»¶å¤§å®¶ä¸æ„¿æ„é€†å‘æ˜¯ä¸€æ ·çš„ï¼Œå¾ˆå¤šå•†ä¸šè½¯ä»¶çš„ä¿æŠ¤ï¼Œæ¥è‡ªäºŽåˆ«äººçœ‹ä¸æ‡‚ï¼Œä¹Ÿæ‡’å¾—èŠ±é‚£ä¸ªæ—¶é—´åŽ»ç ”ç©¶ã€‚

æ‰¾æ¼æ´žä¸€æ ·èƒ½åœ¨PHPå† æ ¸ã€OpenSSLè¿™ç§åœ°æ–¹æ‰¾åˆ°å¹¶åˆ©ç”¨å† å­˜æ¼æ´žçš„äººï¼Œå ¨ä¸–ç•Œå¯èƒ½å°±å‡ ç™¾ä¸ªã€‚

ä»–ä»¬çš„æ—¶é—´å¾ˆè´µï¼Œä¸€ä¸ªæ¼æ´žè¦ç£¨å‡ ä¸ªæœˆã€‚æ‰€ä»¥å¾ˆå¤šé›·ï¼Œå¯ä»¥å®‰å®‰é™é™åœ°åŸ‹ä¸ŠäºŒåå¹´ï¼Œæ˜¯å› ä¸ºçœŸçš„æ²¡äººæ„¿æ„åŽ»æ­ç†ä»–ä»¬ï¼Œæˆæœ¬å¤ªé«˜äº†ã€‚

但AIï¼Œè®©è¿‡åŽ»ä¸–ç•Œæ‰€æœ‰çš„â€œè´µâ€ï¼Œéƒ½å˜å¾—è¡ç„¶æ— å­˜ã€‚

Anthropicè¿™ä¸ªæœˆåˆšå ¬å¸ƒï¼Œä»ŽåŽ»å¹´11月到今年10æœˆåˆï¼Œå®ƒçš„æ¨¡åž‹åœ¨å¼€æºé¡¹ç›®é‡Œä¸€å ±æ‰¾å‡ºäº†29439条候选漏洞线索。

OpenAI在今晚的长文里也说，PHPè¿™ä¸¤ä¸ªæ´žåªæ˜¯ä»–ä»¬å·²ç»å‘çŽ°ã€æ­£åœ¨ä¿®çš„å¥½å‡ ä¸ªé‡å¤§æ¼æ´žä¹‹ä¸€ï¼ŒæŽ¥ä¸‹æ¥å‡ ä¸ªæœˆâ€œç±»ä¼¼çš„å‘çŽ°ä¼šæ€¥å‰§å¢žåŠ â€ã€‚

PHP2Shell不是结束，只是开始，这种事，接下来一定会越来越多，一定会的。

ä½†è¿™æ—¶å€™æœ€æ ¸å¿ƒçš„BUGå‡ºæ¥äº†ï¼Œå°±åƒæ•°å­¦ä¸€æ ·ï¼Œæ•°å­¦çš„è¯æ˜Žå’Œå‘çŽ°å˜å¾—è¶Šæ¥è¶Šå¿«ï¼Œä½†æ˜¯æ ¸å¿ƒçš„ç“¶é¢ˆåˆ°äº†éªŒè¯ä¸Šï¼Œå‰æ®µæ—¶é—´OpenAI发出来那700å¤šç¯‡çš„è®ºæ–‡ï¼Œå¦‚æžœè®©å ¨ä¸–ç•Œçš„æ•°å­¦å®¶ä»¬æ¥åŽ»éªŒè¯æ˜¯å¦æ­£ç¡®ï¼Œå®ƒéœ€è¦æœ€å°‘å‡ ä¸ªæœˆç”šè‡³æ˜¯ä¸€å¹´çš„æ—¶é—´ã€‚

ç½‘ç»œå®‰å ¨ä¹Ÿæ˜¯ä¸€æ ·ï¼ŒPHP的这个漏洞发现，只花了2天。

但是修复，花了整整两个月。

æ¼æ´žå‘çŽ°ä¼šè¶Šæ¥è¶Šå¤šï¼Œä½†æ˜¯èƒ½ä¿®å¤è¿™äº›åº•å±‚æ¼æ´žçš„äººï¼Œæ ¹æœ¬æ²¡æœ‰é‚£ä¹ˆå¤šã€‚

这就像我们古话说的。

“只有千日做贼的，哪有千日防贼的。”

æˆ‘å¿½ç„¶æƒ³åˆ°äº†ä¸€ä¸ªæ• äº‹ã€‚

1871 年，写《爱丽丝梦游仙境》的卡罗尔出了续集《爱丽丝镜中奇遇》。书里有一个红皇后，拉着爱丽丝拼命地跑，跑了半天，爱丽丝发现周围的风景一点都没变。

çº¢çš‡åŽå‘Šè¯‰å¥¹ï¼šâ€œåœ¨è¿™é‡Œï¼Œä½ å¾—æ‹¼å°½å ¨åŠ›åœ°è·‘ï¼Œæ‰èƒ½ç•™åœ¨åŽŸåœ°ã€‚â€

这好像就是AI如今给社会带来的困境。

ä¸åªæ˜¯å®‰å ¨ã€‚ç§‘å­¦å‘çŽ°åœ¨åŠ é€Ÿï¼Œå†™ä»£ç åœ¨åŠ é€Ÿï¼Œå¤åˆ¶è½¯ä»¶åœ¨åŠ é€Ÿï¼Œæ”»å‡»åœ¨åŠ é€Ÿï¼Œé˜²å®ˆä¹Ÿåœ¨åŠ é€Ÿï¼Œå¥½çš„ä¸œè¥¿å’Œåçš„ä¸œè¥¿ï¼Œä¸€èµ·éƒ½åœ¨ç–¯ç‹‚çš„åŠ é€Ÿã€‚

而我们每个人，都在这场红皇后的赛跑里。

停下来的代价，就是那些没人记得的老网站、15年前搭好就再没登录过的后台、还在跑PHP 5çš„å ¬å¸ç³»ç»Ÿï¼Œå®ƒä»¬åœ¨æ ¢ä¸–ç•Œé‡Œå¯ä»¥å®‰ç¨³åœ°å¾ ä¸Šå¾ˆå¤šå¹´ï¼Œå¯åœ¨å¿«ä¸–ç•Œé‡Œï¼Œå°±æ˜¯æ´»é¶å­ã€‚

ç›¸ä¿¡æˆ‘ï¼Œè¿™ä¸ªä¸–ç•Œä¸€å®šæœ‰æ— æ•°çš„ä¸å†ç»´æŠ¤çš„PHPçš„è€é¡¹ç›®ï¼Œä»–ä»¬çŽ°åœ¨ï¼Œå ¨æ˜¯é¶å­ã€‚

人跑不过AI，这件事已经不用辩论了。

ä½†åœ¨æ•´ä¸ªæ• äº‹é‡Œï¼Œæ¯ä¸€ä¸ªå ³é”®çš„å†³ç­–èŠ‚ç‚¹ï¼Œç«™çš„ä¾ç„¶éƒ½è¿˜æ˜¯äººã€‚

有善意的，有恶意的。

çŽ°åœ¨ï¼Œè¿™ä¸ªæ— æ‰€ä¸èƒ½çš„å·¥å ·äº¤åˆ°äº†æ‰€æœ‰äººçš„æ‰‹ä¸Šã€‚

正义会战胜邪恶吗？

AIå¯ä»¥è®©äººç±»ä¸€å¤œä¹‹é—´æ‹¥æœ‰è¿‡åŽ»éš¾ä»¥æƒ³è±¡çš„åŠ›é‡ï¼Œå´æ²¡æ³•è®©äººç±»åœ¨ä¸€å¤œä¹‹é—´ï¼Œå­¦ä¼šä¸Žè¿™ç§åŠ›é‡ç›¸åŒ¹é çš„å ‹åˆ¶ã€‚

当技术进步的速度。

è¿œè¿œè¶ è¿‡äººæ€§æˆç†Ÿçš„é€Ÿåº¦ã€‚

æˆ‘ä»¬ç©¶ç«Ÿæ˜¯åœ¨å¥”å‘ä¸€ä¸ªæ›´å¥½çš„ä¸–ç•Œï¼Œè¿˜æ˜¯åœ¨åŠ é€Ÿå¥”å‘è‡ªå·±çš„æ·±æ¸Šï¼Ÿ

说实话，我现在不知道了。

以上，既然看到这里了，如果觉得不错，随手点个赞、评论、转发三连吧，这对我们有特别大的帮助~

è°¢è°¢ä½ çœ‹æˆ‘çš„æ–‡ç« ï¼Œæˆ‘ä»¬ï¼Œä¸‹æ¬¡å†è§ã€‚

来源： æ•°å­—ç”Ÿå‘½å¡å ¹å ‹ · x.com

å®‰å ¨å¯¹é½

行业动态

#

å®‰å ¨/对齐

OpenAI

Anthropic