本文由泛亚电竞整理发布：

编译 | 郑丽媛 出品 | CSDN（ID：CSDNnews） 一个普通 Bug，放在程序员的待办列表里两年没人管，听起来似乎不是什么大事。

毕竟，哪个软件项目没有一堆暂时修不完的小问题？

只要不影响正常使用，很多 Bug 最后可能就这么被遗忘了。

但这次，情况有点不一样。

一个早在 2024 年就被发现的 PHP 内存错误，原本只被认为可能导致程序崩溃。

没想到，今年在 AI 工具的帮助下，安全研究人员竟然从中挖出了一条攻击路径：黑客可以借此在服务器上执行任意代码，甚至直接控制服务器。

更麻烦的是，这次受影响的并不是什么冷门项目。

NASA、维基百科、白宫等网站，以及大量使用 WordPress、Drupal 等技术搭建的网站，都可能受到波及 ——这就是前不久引发网络安全领域关注的 PHP2Shell 漏洞 。

对于这起事件，网络安全初创公司 Tolmo 的 AI 安全研究负责人 Matt Suiche 判断道： “过去 40 年里由人类编写的所有遗留软件，其潜藏的 Bug 正在逐渐暴露出来。

现在，是时候偿还这些技术债了。

” 两年前没人当回事的 Bug，如今能让黑客控制服务器 先说说 PHP2Shell 是什么。

PHP 诞生于 1994 年，最初是 Personal Home Page（个人主页）的缩写。

虽然如今各种新语言、新框架层出不穷，但 PHP 依然支撑着大量互联网网站运行 ，WordPress、Drupal 等常见网站系统都离不开它——据 W3Techs 的网站技术统计，如今 PHP 还是广泛使用的服务器端脚本语言， 支撑全球约七成网站业务。

而这次的 Bug，就出在 PHP 自身的底层代码中。

早在2024年，研究人员就向 PHP 基金会报告过一个与内存不足（Out-of-Memory，OOM）有关的 Bug。

简单来说，就是程序分配给某段数据的内存空间不够用了。

通常情况下，这类错误会导致程序崩溃，虽然影响正常运行，但看起来并不会直接威胁系统安全。

所以，这个 Bug 一直没有得到足够重视。

直到今年 7 月，在 OpenAI 发起的 Patch the Planet 安全计划支持下，网络安全公司 Calif对 PHP 展开了一次独立安全审计。

研究人员 Ryan Austin 借助 AI 工具，仅用了几天时间，就找到了这个内存错误背后的另一种可能性： 攻击者可以利用程序处理异常时留下的问题，进一步操纵内存，最终实现远程代码执行 （RCE）。

这下事情就完全不一样了：原本只是让程序崩溃的 Bug，现在却可能成为攻击者进入服务器的入口；

一旦利用成功，攻击者就能执行恶意代码，读取敏感数据，甚至安装恶意软件。

随后，Calif 又发现了其他可利用路径，并将问题报告给 PHP 基金会。

网络安全公司 Wiz 和 OpenAI 也参与了后续验证与分析。

最终，这些问题被归纳为 PHP2Shell，涉及两个严重的远程代码执行漏洞：CVE-2026-109618 和 CVE-2026-109619。

Wiz 还在 WordPress、Drupal 和 Joomla 等常见网站应用上进行了验证，发现攻击者甚至可能在不需要身份验证的情况下发动攻击。

换句话说，这不只是某个网站的配置不当，而是 PHP 底层运行环境本身存在安全隐患。

AI 究竟做了什么？

把专家都嫌麻烦的活儿干了 一个问题随之而来：这个 Bug 已经存在两年，为什么此前没人把它挖掘成严重漏洞，AI 却能在短时间内找到突破口？

对此，哥伦比亚大学计算机科学副教授 Suman Jana 给出的解释很有意思： 不是这个 Bug 有多么神秘，而是利用它需要做大量非常具体、非常繁琐的推理。

想要真正利用内存错误，研究人员必须弄清楚目标程序的内存布局，找到可以跳转的位置，再计算应该按照什么顺序覆盖哪些数据，才能最终控制系统——这就像发现一扇门没有锁，并不等于你马上就能进屋，你还得搞清楚门在哪里、怎么打开，以及进去之后应该如何行动。

而 Suman Jana 认为，AI 在这种需要反复分析和推理的任务上表现得相当出色。

他表示， 这并不是什么高深莫测的技术，只是需要大量令人头疼的细节分析，而 AI 恰好能很好地处理这些工作。

当然，他也强调，不能把这次成果简单归功于 AI 独立完成了漏洞挖掘：Calif、OpenAI 和 Wiz 的研究人员本身都具备丰富的网络安全知识和 PHP 技术背景，AI 更多是作为辅助工具，帮助他们更快地完成分析。

只是， 效率上的变化已经相当明显。

Suman Jana 表示， 原本只有最顶尖的 0.

1% 专家才能完成的工作，现在借助 AI，他们可以挖掘出更多问题 ；

而那些距离顶尖水平还有一定差距的研究人员，也有机会借助 AI 参与更复杂的安全研究，不必事事都从底层细

关注泛亚电竞，掌握更多体坛动态。