重點整理
- 【發現】Wiz 8月19日用 AI 工具找到第一個漏洞，8月24日通報 PHP
- 【影響】已示範對 WordPress、Drupal、Joomla 免登入遠端執行程式碼
- 【AI】使用 Gemini 4 Argon、GPT-5.6 Sol 等模型，一名研究員約一週完成
雲端資安公司 Wiz 旗下研究團隊 Wiz Research 10月21日公布 PHP2Shell 漏洞的發現過程。Wiz 表示，團隊在 PHP 核心引擎找到多個記憶體安全缺陷，以 CVE-2026-109618、CVE-2026-109619 兩個編號涵蓋共4個錯誤，可能讓攻擊者免登入遠端執行程式碼，或外洩伺服器記憶體中的敏感資料，影響範圍幾乎涵蓋 PHP 5.4 以來所有版本。
根據 Wiz 公布的時間軸，團隊8月19日利用 AI 工具找到第一個漏洞，隔天確認可對 Drupal 免登入遠端執行程式碼，8月21日再確認 WordPress 也可被攻破；8月24日通報 PHP 安全團隊，PHP 於9月21日確認並開始開發修補，10月21日釋出修補版並公開。
Wiz 表示，研究使用了自家工具 Wiz Atlas，以及 Google 的 Gemini 4 Argon 與 OpenAI 的 GPT-5.6 Sol 等 AI 模型，AI 協助把攻擊程式調整到不同 PHP 版本、設定與記憶體配置，並能分析失敗原因反覆測試。Wiz 指出，一名研究員借助這些工具約一週就完成過去需要一個團隊數月的工作。
Wiz 已示範用最新版容器映像檔，對 WordPress、Drupal、Joomla 達成免登入遠端執行程式碼；另一條與應用程式無關的記憶體外洩路徑，則可能曝露密碼、登入權杖、API 金鑰與憑證。Wiz 研究員撰文指出，PHP2Shell 可能像2014年的 Heartbleed、2021年的 Log4Shell 一樣，成為「AI 時代的轉捩點」。
Google DeepMind 的 Gemini 安全負責人 Raluca Ada Popa 表示，Wiz 團隊用 Gemini 4 Argon 展示了「前沿 AI 為何能改變資安防禦的遊戲規則」。Wiz 也建議防守方留意異常的 multipart 請求後接著出現記憶體上限錯誤、反覆的 HTTP 500 回應、異常龐大或格式錯誤的 PHPSESSID cookie，以及原因不明的 PHP worker 頻繁重啟。
相關報導：PHP重大漏洞「PHP2Shell」風險升高 ALION推出緊急資安修補服務
資料來源
本文由阿利恩(Alion)資訊專家與《報新聞 MEGA NEWS》編輯部綜合各資安公司、雲端業者公告及國內外媒體報導整理，資訊更新至2026年10月23日。漏洞情勢變化快速，修補與設定請以 PHP 官方及各作業系統、主機商的最新公告為準。