AI揪出PHP 14年隐秘后门：补丁外泄黑客已发起攻击

当安全研究员还在为传统的“零日漏洞”花费数月时间寻找攻击入口时，人工智能（AI）已经替他们完成了最枯燥也最关键的工作——在数百万行陈旧代码中找到了隐藏的命门。

近日，Wiz Research 和安全团队 Calif 公开宣布了一则让全球互联网基础设施震动的消息：利用 OpenAI GPT－5．6 Sol 等前沿语言大模型对底层编程语言进行自动化审计，团队发现了位于 PHP 引擎深处的两个严重远程代码执行漏洞（CVE－2026－109618 和 CVE－2026－109619）。这两个漏洞被赋予了极高的安全评分 9．2 分，且其隐蔽的根源可追溯至长达十余年的架构历史。

对于企业和开发者而言，这意味着一件极其危险的事实正在发生：攻击者甚至不需要账号和密码，仅凭一条普通的网页请求，就能绕过防线直达服务器内核。而在官方修复方案彻底落地之前，部分漏洞利用细节已经通过“补丁泄露”的途径流向黑产市场，第一波针对性的网络攻击已经开始。

藏在底层的“隐形后门”

要理解这次事件的破坏力，首先必须明白这并非应用程序层面的普通故障，而是发生在 PHP 引擎最底层的内存管理错误。

根据 PHP 基金会发布的紧急安全通告，这两个漏洞的本质可以通俗地理解为“脏水未倒干净”。

第一个漏洞 CVE－2026－109618 被称为“OOM Corrupt”（内存耗尽损坏）。当服务器因为访问量过大导致内存即将耗尽时，PHP 的运行机制会被强行打断。在系统恢复或清理的过程中，如果内部数据只写了一半，随后错误的清理逻辑可能会把这些残缺不全的数据当作有效指令去执行。

第二个漏洞 CVE－2026－109619 则是“Stale Global State”（陈旧的全局状态残留）。当一个网页请求处理完毕后，底层的内存应当被清空以备下一个用户使用。然而在这些受损的代码路径中，上一个用户的残留状态并没有被彻底清除，直接被下一个毫无防备的用户继承。

这就形成了一个没有门锁的后门。攻击者只需要发送一个精心构造的 HTTP 请求，就可以在业务代码正式运行前，直接在服务器上执行任意代码。这对于运行着 WordPress、Drupal 或 Magento 等庞大生态系统的中小企业来说，无异于将保险箱的密码直接张贴在了门口。

“这些漏洞之所以可怕，是因为它们存在于应用代码之上、操作系统之下。”Wiz Research 的分析指出，“只要你的网站还在跑网页服务，攻击者就可以在你不知道的情况下，完全控制这台服务器。”

为什么人类找了十几年没找到？

此次事件最令人深思的地方不在于漏洞本身有多复杂，而在于它竟然以“静默”的状态在代码库中潜伏了约 14 年之久。

自上个十年中期以来，全球互联网经历了爆发式增长。PHP 以其稳定著称，成为支撑全球约 70％ 网页基座的幕后引擎。然而，伴随繁荣而来的是代码债的疯狂累积。传统的网络安全审计高度依赖人工，面对数以千万计的分支逻辑、各种历史遗留的函数调用关系，即便是顶尖的黑客专家也难以凭借肉眼和直觉在庞杂的系统级交互中定位如此底层的缺陷。

直到这一波大模型的介入改变了游戏规则。

Wiz Research 和安全研究团队 Calif 将庞大的开源代码库交由基于 Transformer 架构的语言大模型进行深度扫描。AI 能够以几何级数跨越人类的注意力局限，精准比对内存分配和释放的全生命周期逻辑，最终揪出了那些人类程序员在迭代更新中不断打补丁、却从未真正清理掉的隐患。

这不仅是一次技术上的胜利，更标志着网络安全行业商业模式的拐点：依靠人力堆砌的传统漏洞挖掘时代正在结束，AI 驱动的自动化审计将成为基础设施安全的刚需。

中小企业的现实困境：补丁还没打，攻击已至

如果说漏洞的发现是一场技术革命，那么后续的防御落地则是对企业管理能力的一场严酷考验。

目前最大的痛点在于：如何给一台“老房子”换地基。

根据 PHP 官方指引，只有较新的 PHP 版本能够获得完整的官方二进制补丁支持。而对于占据存量市场巨大的 PHP 8．1 及更早版本的老旧系统，官方无法提供无缝的即时升级包。官方给出的解决方案仅限于提供针对源码的最小化回补补丁（source－backports）。这意味着企业的技术团队不仅要面临复杂的编译测试，还要担心一旦修改了核心引擎代码，现有的老旧业务系统是否会突然崩溃。

对于依赖这些平台生存的小型电商和资讯类企业来说，承担这种停机和重构的成本是极为沉重的。

更为紧迫的是时间的赛跑。据业内观察，伴随着漏洞编号（CVE）的公开发布，相关的修复代码片段也随之泄露到了公开的 GitHub 仓库和暗网论坛。安全专家指出：“这就是所谓的‘开胃菜’。现在的局势是，修补漏洞的速度远远赶不上黑客提取漏洞原理的速度。”

在第一波修复浪潮到来之前，所有尚未迁移至最新系统的 PHP 网站都已经暴露在火力之下。

未来展望：AI 监管时代的常态化

随着 PHP 基金会发布紧急公告并协调各大分发渠道推送修复镜像，这场由 AI 主导的发现引发了全行业的集体警觉。对于企业 IT 决策者而言，这是一次昂贵的警示：在高度自动化的代码生成和漏洞利用面前，传统的被动防御已经失效。

我们正步入一个全新的阶段：AI 既能像 Wiz Research 那样在一夜之间翻出沉睡十几年的代码雷区，也能帮助攻击者在几秒钟内编写出 exploit（利用程序）。未来的企业网络安全架构，将不再仅仅是购买防火墙，而是必须引入能够自我对抗的智能化监控体系。

对于每一个仍在维护老旧 PHP 环境的中小企业来说，现在的首要任务不是等待救世主，而是立即检查自己的服务器环境。如果无法在几天内完成平滑迁移，至少需要依靠临时的 WAF（Web 应用防火墙）规则，将那些试图篡改底层状态特征的畸形请求挡在门外。

毕竟，在这个 70％ 的网页帝国里，没有任何一座堡垒是可以高枕无忧的。