# AI助研究人员将PHP旧漏洞变成可用攻击手段

> 研究人员结合AI工具与专业经验，找到了利用PHP漏洞的实用方法。漏洞公开后，数百万次攻击尝试随即出现，但目前尚无成功攻击的报告。

Oossa · 2026-10-24 · https://oossa.com/zh/ai-helped-turn-old-php-bugs-into-usable-exploits

据WIRED援引Cloudflare的分析，PHP新漏洞公开后数小时内，就出现了数百万次利用尝试。这些统称为PHP2Shell的漏洞促使安全团队和网站管理员赶紧发布补丁。

目前尚无大规模入侵报告。PHP Foundation表示，尚未发现这些漏洞被成功利用；公开流传的许多攻击手段似乎也不起作用。WIRED没有说明受影响的PHP版本，也未提供补丁安装说明。

## AI帮助研究人员找到突破口

安全公司Calif的研究人员最先发现这些漏洞，并于8月初构造出攻击手段；他们部分借助了OpenAI的Patch the Planet计划所提供的前沿AI工具。研究工作也依赖研究人员对PHP的专业了解。之后，OpenAI的研究人员和Google旗下Wiz的研究人员也分别借助AI工具独立发现了PHP2Shell漏洞。

部分底层问题早在2024年就已被发现，但当时被认为难以利用。Wiz研究员Sagi Tzadik表示，PHP团队多年来都知道这个漏洞，却没有处理，因为人类攻击者无法利用它。AI让这个此前不具备实用攻击条件的漏洞变得可利用。

## 压力加大，但不意味着黑客攻击自动发生

这一事件显示，AI能够加快漏洞分析和利用速度，给本就要处理大量漏洞的安全团队带来更大压力。WIRED指出，微软当月的安全更新涵盖创纪录的1,453个漏洞；美国银行则聘请了1,000名顾问，处理Anthropic的Mythos发现的漏洞。

WIRED采访的研究人员提醒，不要以为AI会发现所有旧漏洞。Calif研究员Ryan Austin表示，任何模型都无法靠简单提示找出所有漏洞；其他专家也强调，发现PHP漏洞需要一支专业团队。一位研究人员还指出，PHP广泛暴露于互联网，因而成为一个不同寻常的目标；这并不意味着所有旧软件漏洞都即将变得可利用。

## 事实

- 据WIRED援引的Cloudflare分析，PHP2Shell漏洞公开后数小时内出现了数百万次利用尝试。
- PHP Foundation表示，尚未发现这些漏洞被成功利用。
- Calif研究人员最先发现PHP2Shell并于8月初构造出攻击手段，过程中部分借助OpenAI的Patch the Planet计划提供的AI工具。
- 部分底层PHP问题早在2024年就已被发现，但当时被认为过于复杂，难以利用。
- 据WIRED报道，微软当月的安全更新涵盖1,453个漏洞。

## 为什么重要

对于负责维护PHP系统的管理员来说，WIRED的报道提醒他们认真对待公开披露的漏洞：尽管尚无成功攻击报告，利用尝试还是很快就出现了。WIRED没有说明受影响的版本或补丁，因此管理员需要查阅PHP官方指引，而不应自行推断系统是否存在风险。

## 来源与参考

1. [The PHP Meltdown Shows How AI Makes Bugs More Exploitable](https://www.wired.com/story/kernel-panic-the-php-meltdown-shows-how-ai-makes-bugs-more-exploitable/) – Wired, 2026-10-24

最后更新: 2026-10-24