北京
昨天安全圈炸锅了，GPT发现了一个PHP大漏洞，外号叫PHP2Shell。
我一开始也以为是营销号吓唬人，结果看完资料，这次真得重视。
这个漏洞包含两个CVE，评分都是9.2，超危。
简单说，攻击者不用登录，就能远程在服务器上执行代码，等于直接拿到控制权。
更离谱的是，影响范围从PHP 5.4开始，几乎把老版本一网打尽。
发现过程也很有戏剧性：安全公司Calif的研究员用OpenAI的GPT-5.6 Sol审计PHP源码时挖出来的，Google旗下Wiz也独立发现了。
其实2024年就有人发现过类似缺陷，但当时觉得利用难度高、修复麻烦，补丁被搁置了。
结果AI一介入，直接把"能不能真打"给证明了，这才促成紧急修复。
漏洞披露后，荷兰、芬兰部分政府网站临时下线，FBI也发警告，建议修不了的机构先下线。你就说这排面大不大。
官方唯一彻底方案就是升级：PHP 8.5.12、8.4.27、8.3.36、8.2.35已经修复。
还在用7.4、8.0、8.1的，官方给了最小源码补丁，也可以问Linux发行版供应商有没有回溯修复包。
如果实在没法立刻升级，官方建议临时把memory_limit设成-1，再调低post_max_size，但这只是降低风险，不能替代升级。
另外，mod_php模式风险最高，能换就换。
AI在安全领域真是双刃剑。
它能把人类审计算不过来的代码翻个底朝天，漏洞发现速度会越来越快；但攻击者也能用AI加速找利用链，攻防节奏都会卷起来。
这次最讽刺的是"2024年就发现过但搁置了"。很多老漏洞不是没人看见，而是被"难度高、影响小"说服了。
AI的价值不只是发现，更是证明"这事儿真能打"，逼着大家动起来。
对普通用户来说，你用的CMS、插件、主机，背后都是PHP，能升级就升级。
对企业来说，别把PHP当"老古董"放着不管，该升级升级，该上WAF上WAF，该做资产盘点做盘点。别存侥幸心理。
特别声明：以上内容(如有图片或视频亦包括在内)为自媒体平台“网易号”用户上传并发布，本平台仅提供信息存储服务。
Notice: The content above (including the pictures and videos if any) is uploaded and posted by a user of NetEase Hao, which is a social media platform and only provides information storage services.
