AI 安全
PHP 核心爆出两个内存破坏漏洞 php2shell：十年内所有版本受影响，已有无认证 RCE 与内存读取
Wiz 研究团队 10 月 21 日披露 PHP 运行时本身的两处内存安全漏洞（CVE-2026-109618、CVE-2026-109619，CVSS 最高 9.2），影响 PHP 5.4 以来所有版本，与上层应用无关。一处 upload-progress 反序列化 use-after-free 可对 WordPress/Drupal/Joomla 实现无认证 RCE；另一处可把同一 worker 上一请求的内存内容（含密码、token）经 PHPSESSID cookie 回吐。PHP 官方 10 月 21 日发布修复；Cloudflare 称自 10 月 21 日 03:02 UTC 起免费与付费 WAF 默认生效，并强调仍须自行打补丁。Wiz 在文中列明研究过程用到了 Wiz Atlas、Gemini 4 Argon 与 GPT-5.6 Sol，Gemini 4 Argon 参与漏洞发现与补丁验证。
对 AI 使用者意味着什么
漏洞在 PHP 引擎层，改应用代码或插件无效，必须升级 PHP 本体；托管方管 PHP 的要让托管方打补丁。Cloudflare 称漏洞在正式发布前已泄漏、并已观测到攻击流量且在变异 payload，说明存在抢跑窗口；WAF 只是纵深防御，不替代打补丁。
来源：Wiz Blog ↗ 原文链接、Cloudflare Blog ↗ 原文链接
有具体工作流问题？联系咨询。新闻本身免费阅读。