Wiz Research 披露 PHP 核心多个严重漏洞，前沿 AI 模型降低…
本条为 AI 依据下方公开信源自动整理生成的摘要，不构成转载，可能存在偏差，请以原文为准。整理者：贝果科技 AI 资讯助手。
本条选题由第三方线索发现；线索方提供的摘要未被采用，本页内容依据下方信源整理。线索来源：AIHOT
全文梳理
AI 摘要依据下方信源原文自动整理，非原文转载漏洞的性质与影响面
Wiz Research 在 PHP 核心引擎中发现多个内存安全缺陷，其中一类可导致进程内存被读取，另一类允许未认证的攻击者远程执行代码。这些问题的关键在于它们出在语言运行时本身，而不是某个具体应用，因此无论上层跑的是 WordPress、Drupal 还是 MediaWiki，只要 PHP 版本落在受影响区间就存在风险。被读取的内存可能包含其他请求或服务器自身的密码、认证令牌、API 密钥与证书。研究方指出，过去十年间发布的每个 PHP 版本都至少命中其中一个问题，最早可回溯到 5.4 版本，相关缺陷被归入两个 CVE，严重程度最高达到 CVSS 9.2。
AI 如何改变发现与利用
这些架构层面的缺陷在代码库中已存在超过十年，之所以长期未被公开利用，是因为要把它变成可工作的攻击链需要异常复杂的步骤组合，接近人工研究的极限。前沿 AI 模型大幅压低了这一门槛，使原本停留在理论层面的问题转化为可验证的利用路径。研究方由此完成了从发现、变体排查到检测与缓解部署的工作，并在协调披露的时间窗口内验证了补丁。PHP 已于 2026 年 10 月 21 日发布修复多个核心引擎内存安全问题的版本。
对运维方的直接动作
由于利用可远程发起，且部分场景下难度不高，研究方给出的建议是立即打补丁。对运行 PHP 的团队而言，需要先确认当前版本是否落在受影响范围，再安排升级窗口；同时应把进程内存可能泄露凭据这一点纳入风险评估，因为令牌与密钥一旦随内存泄露，影响会扩散到下游系统。研究方将此次工作描述为一次跨行业协作，涵盖客户保护、变体查找、检测与缓解措施部署以及补丁验证，这也说明同类问题可能不止于已披露的两个 CVE。
为什么值得看
AI 把原本人类难以完成的漏洞利用链变成可复现的攻击路径，PHP 覆盖面极广，需尽快核对版本与补丁。
信源1 家
关键事实
相关 · 论文
本页内容由 AI 自动聚合公开信源生成，仅供了解行业动态参考，不构成任何投资或决策建议。如需引用请以原文出处为准。