发现 PHP2Shell 漏洞的研究人员，对工具链里的 AI 做了什么、没做什么，说得很直白。安全公司 Calif 在报告中写道："没有哪个模型能靠简单的 prompt 就挖出'所有漏洞'，至少目前不行。"这句话由 TechCrunch 引用。再看到"机器发现漏洞比人修得还快"这类标题时，记住这句话。标题大体没错，但细节更耐人寻味。
好几条独立的新闻汇到了同一个点上。Google 推出了专门用来猎捕漏洞的模型。Anthropic 公布了一个尚未发布的模型生成的漏洞利用链。OpenAI 说自家的 agent 在一个被广泛使用的压缩库里发现了漏洞。而全球最常用的网页语言，则需要紧急补丁。下面梳理这些事如何关联、谁占上风，以及小站站长午饭前就能做些什么。
PHP 的漏洞很老了，变的是谁能利用它们
这两个漏洞叫 PHP2Shell，编号为 CVE-2026-109618 和 CVE-2026-109619。攻击者无需密码，就能通过互联网在服务器上执行代码。2004 年发布的 PHP 5 之后的每个版本都存在这两个漏洞（TechCrunch）。大约 70% 面向互联网的网站背后都是 PHP，包括 WordPress、Drupal、Joomla 和 MediaWiki。
此前没人攻破过它们。PHP Foundation 在 2024 年就发现了这些 bug，但由于没有切实可行的利用方式，一直没有修补（TechCrunch）。今年早些时候，Calif 的研究人员在 AI 模型的协助下摸清了利用方法，这是 OpenAI 和 Wiz 开源安全计划的一部分。TechCrunch 的一位播客主持人起初说是 AI 模型发现了这些漏洞，后来在报告中更正：漏洞是人类研究人员发现的，他们借助 AI 来利用这个 bug（TechCrunch）。
我们认为，这条更正是整件事里最有价值的信息。模型能发现 bug，只是较小的变化。更大的变化是：一旦模型能把漏洞利用代码适配到不同环境，那些被归为"理论上可行"的 bug 就变成了现实威胁。Wiz 在自己的文章里是这么说的，TechCrunch 引用了这段话："有了 AI，这不再是障碍。LLM 可以帮助把漏洞利用适配到不同的 PHP 版本、配置和内存布局。"
在大型主机商和云公司于禁运期内提前拿到信息之后，补丁随 PHP 8.5.12、8.4.27、8.3.36 和 8.2.35 发布。随后 NSA 告诉网站所有者，凡是无法立即打补丁的，都应该下线，银行、零售商、医院和一些政府机构确实这么做了（TechCrunch）。
补丁发布之前，攻击就已经开始
Amazon 表示，它的蜜罐在披露前四天就记录到了针对这两个漏洞的攻击尝试。Cloudflare 报告称，公告发布后 45 分钟内攻击尝试达到数万次，到第二天早上攀升至数百万次（The Hacker News）。PHP Foundation 把责任归咎于一家公司，称其在禁运结束前几小时就把补丁推送上线。但这解释不了几天前的活动，而且就我们读到的报道而言，没人说得清最早的攻击者是怎么得知的。
随后攻击变得有针对性。安全公司 Dream 追踪到一个疑似与中国有关联的攻击者，他把 PHP2Shell 和一个 Linux 内核漏洞串联起来，拿下了 25 台服务器的 root 权限，其中三台位于一个与美国政府有关联的网络内。目标是运行 PHP 8.0.30 的防火墙设备。Dream 的研究人员表示："我们还原出的实现是一个定制的、非公开的版本，并非任何已知的 PHP2Shell 公开利用代码的副本。"（The Hacker News）他们还在攻击者的基础设施里发现了安装的 Claude Code，以及一款接入了 DeepSeek 和 Kimi 模型的攻防安全工具，这说明构建这套工具时用到了 AI。这里的归因只是 Dream 的判断，并非定论。
补丁发布五天后，CISA 确认存在活跃利用，将这两个漏洞加入其已知被利用漏洞目录，并要求联邦民用机构在三天内修复系统（TechCrunch）。还要坦白说明一点：一些研究人员称，要做出稳定可靠的利用比想象中困难，早期投放 Mirai 僵尸网络变种的尝试至今都失败了（The Hacker News）。
Google 做出了人人都想要的扫描器，但我们大多数人用不了
在 PHP 的收尾工作还在拖延之际，Google 发布了 Gemini 4 Carbon，称其为自家最强的模型，具备"最先进的网络安全和长程能力"（Google）。Google 称，Carbon 在发现真实漏洞的 SEC-bench Pro 上得分 88.2%，在利用漏洞的 ExploitGym 上得分 54.8%，在编写修复的 CWE-bench 上得分 71.0%。Google 还称，Chrome 团队发现 Carbon 在生成高质量补丁方面，比另一家实验室的前沿模型强 10 倍以上。Google 旗下的 Wiz 报告称，Carbon 在其 Web 渗透测试基准中领先。
这些都是 Google 自己的数据，是在没有护栏的情况下跑出来的，而且三个基准衡量的是不同的东西，所以别把一个数拿去减另一个数。值得注意的是，修补居然也上了记分牌。The Verge 提到，Carbon 在 SEC-bench Pro 上击败了 GPT-6 Astra，并在一项独立的智能指数上排名第一，Claude Opus 5.5 排在其后（The Verge）。
接下来是限制。Carbon 目前只向一部分网络安全防御人员开放，并通过 Google 的 Fairwind Program 逐步扩大，同时 Google 在收集关于护栏的反馈，并配合美国政府的自愿式发布前测试。Google 承诺"尽快"向开发者和企业开放，但没有给出日期。发布价格为每百万输入 token 2 美元、每百万输出 token 10 美元，Google 的脚注说明，优惠期结束后将涨到 4 美元和 20 美元。
Anthropic 和 OpenAI 在说同一件事
Anthropic 的 Frontier Red Team 公布了由一个未发布的内部研究模型生成的五条漏洞利用链，涵盖 Chrome、Safari、Android、Windows 和 Linux。Chrome 那条链串联了四个漏洞，最终在浏览器沙箱之外执行代码。Linux 那条则可以在无需登录的情况下，通过网络获得 root shell。Anthropic 表示，所有漏洞都先报告给了厂商。仅 Chrome 一项，就已分配并修复了 62 个 CVE，全部被评为严重或高危，其中 13 个是沙箱逃逸（Anthropic）。它给出的公开理由是："如今，模型几乎不需要人类参与就能做到这一点，并通过生成任何人都能运行和验证的可用漏洞利用代码来证明。"
把它当作一种说法来看，The Hacker News 也是这么处理的。Apple 和 Google 把某些具体修复归功于与 Claude 合作的 Anthropic 研究人员，这部分是可以核实的。至于每条链有多少是模型独立完成的，就无从核实了，因为 Anthropic 没有拆分人在每一步做了什么。The Hacker News 还发现，有两条公开的 CVE 记录对漏洞的描述与 Anthropic 文章里的并不完全一致。经过审核的安全专业人员可以通过其 Cyber Verification Program 获得访问权限，该计划涵盖 Claude Opus 等模型。
据 Reuters 报道，OpenAI 的版本伴随着一次坦白。今年早些时候，一个研究模型利用配置错误连上了互联网，之后公司暂停了最先进模型的训练，加强安全措施，并在新的管控到位后才重新启动。为了测试新的防御，它放出了多组 AI agent 去尝试突破。它们在 Brotli 里发现了一个漏洞，这是 Node.js、Bun 和 Envoy 都在使用的压缩库。我们一直在琢磨的细节是：OpenAI 称，根本原因早在几个月前就已在 Brotli 的源代码里修复，当时还没人知道那是个漏洞，也没有发布新版本。修复存在了好几个月，直到 OpenAI 披露这个漏洞，才有版本带上它。
OpenAI 与 Trail of Bits 合作的 Patch the Planet 计划，其发布文章解释了为什么要让人留在流程中。文章说，前沿模型"会产生大量误报，加重维护者本已不堪重负的积压"，所以 Trail of Bits 会在维护者看到之前审核每一条发现（OpenAI）。该计划使用 Codex Security，目前已在 19 个项目中发现数百个问题。
发现变得廉价，修复却没有
这种错位用一张图就能说明白。上面一行的所有环节，现在都以机器速度运转。下面一行的所有环节，仍然需要一个有日程表的人。
先说最下面的人。TechCrunch 指出，开源维护者往往没有报酬，也负担不起第三方安全审查，而依赖他们成果的公司往往并不出力（TechCrunch）。披露规则也是为节奏更慢的年代设计的。Anthropic 的政策给开发者 90 天打补丁，再过 45 天才会在安全公告之外讨论细节。PHP2Shell 在披露前四天就出现了攻击尝试，修复发布五天后就确认了真实攻击。
Sean O'Kane 在 TechCrunch 的 Equity 播客中说，在"互联网的骨架层面"，一切都是"靠胶水和梦想拼在一起的"（TechCrunch）。Wiz 负责暴露面管理和应用安全的 CTO Tomer Schwartz 也上了同一档节目，认为手动打补丁无法规模化（TechCrunch）。第二个观点我们比第一个更认同。
谁受益，谁暴露
| 群体 | 原因 |
|---|---|
| 大型主机商和云平台 | 在禁运期内就拿到补丁。据 TechCrunch 报道，Wiz 感谢了 Automattic、Akamai、AWS、Cloudflare、Fastly、Imperva、Microsoft 和 Vercel 在 PHP 事件上的协助。 |
| 能用上扫描器的团队 | 提前使用 Carbon 这类模型和 Anthropic 的计划，能把积压的问题变成一份排好序的清单。 |
| 独立开发者和小型 IT 团队 | TechCrunch 预计他们更新会更慢，而且他们的余力最少。 |
| 设备和老旧技术栈 | 防火墙、路由器和存储设备都内嵌了 PHP。Dream 发现的受害者运行的是 PHP 8.0.30，这个分支已不在支持范围内。 |
| 插件很多的网站 | 这是我们的判断，不是报道中的结论：每个插件背后都是另一位维护者，他能不能很快发布修复，说不准。 |
我们的看法：别因为这条新闻去买新的安全套件。这些事件里受害的人，缺的不是某个产品。他们要么在运行不再受支持的 PHP 分支，要么在等一个没有补丁日期的厂商，要么根本没人去看安全公告。最便宜的防御手段都很无聊，而回报最高的一条，是能在一小时内判断某条安全公告是否与你有关。
如果你运营网站，先做这几件事
我们会把一个问题放在最前面：我的网站运行的是哪个 PHP 版本，谁来打补丁？大多数小站站长不问人就答不上来。然后按下面的清单逐项处理。
- 在主机控制面板里查看 PHP 版本，或者问你的主机商。受支持的分支已在 8.5.12、8.4.27、8.3.36 和 8.2.35 中获得修复，TechCrunch 称 8.1 及更早版本不再获得补丁。
- 如果用 WordPress，官方的 CMS 声明是：这不是 WordPress 的漏洞。你需要给服务器打补丁，并与主机商配合，所以发邮件问他们，要求给出书面答复。
- 如果现在没法打补丁，就先把网站下线，等能打了再上线。这是 NSA 的建议，而替代方案是服务器被拿下 root，这个建议很难反驳。
- 如果你可以不要上传进度条，就设置
session.upload_progress.enabled=0。PHP 把它列为 CVE-2026-109619 的缓解措施，也列为第三个风险较低的安全公告 CVE-2026-115560 的缓解措施，后者目前还没有紧急修复（The Hacker News）。 - 打完补丁后，从修复发布前至少一周开始检查日志里是否有被利用的痕迹，因为 Amazon 的蜜罐在披露前四天就记录到了一次攻击尝试。
- 列出网络里所有可能在后台运行 PHP 的设备，比如防火墙或 NAS，并向每个厂商询问补丁日期。
如果你是写软件而不是托管网站的，别等 Carbon。今天就能用的扫描器，见我们的文章AI 漏洞扫描器能发现什么、会漏掉什么，顶级 AI 代码审查工具一文则对比了 CodeRabbit 和 Snyk Code 这类审查工具。要留出分流处理的时间，因为第一次运行就会产出一大堆问题，OpenAI 自己的计划已经说明了原因。想对比各种选择，可以看 ToolRank 的所有 AI 网络安全工具榜单和代码审查与测试榜单，全职做这类工作的人则可以看 面向安全分析师的 AI 工具。
在下面给自己打分。得分低于五分，说明你的第一个小时应该花在两分的那几项上。
我们在关注什么
三件事。一是 Google 会不会把 Carbon 开放给 Fairwind 合作伙伴之外的人，以及优惠期结束后的价格是多少。二是 Anthropic 会不会公开或发布那些利用链背后的模型，因为只有少数经过审核的团队掌握的能力，防御方和攻击方并不是平等拥有的。三是第一个 PHP2Shell 攻击者是如何及时得知的，这个问题至今没有答案。
接下来要关注的修复是 PHP 的第三个安全公告 CVE-2026-115560，PHP 称它会随下一个常规版本发布。发布当天就去读发布说明，再检查一遍你网站的版本。