PHP2Shell：关于其是否如看起来那样容易被攻击的辩论

• Sansec 降低了对大规模攻击的紧急警报，原因是缺乏证据。
• 根据 Flare 的说法，公共测试在实验室之外失败，每个服务器都需要调整。

由 Wiz 公司推动的人工智能分析识别出 PHP 解释器中的两个关键漏洞，该语言支撑着全球近 70% 的网页。

触发因素是 10 月 21 日发布的针对 PHP 8.2、8.3、8.4 和 8.5 版本的紧急更新，正如 CriptoNoticias 报道的那样。这些漏洞被标记为 CVE-2026-109618 和 CVE-2026-109619，在 CVSS 评分中获得了 9.2 的严重性。

作为预防措施，多个国家的管理机构暂时断开了机构门户。然而，在初步的遏制反应之后，技术社区在关于威胁真实程度的叙述上出现了分歧。

一方面，像 Pentera 和 WatchTowr 这样的分析公司支持机构严重性的观点，认为 这一高分在全球漏洞标准中反映出不可否认的结构性风险：理论上可以在不需要凭证的情况下执行远程代码。

从这个角度来看，PHP 的广泛采用证明了将这一发现视为一类紧急情况的合理性，因为在如此广泛的组件中出现的任何漏洞都代表着系统性威胁，无论进入障碍如何。

实际复杂性的叙述

在另一端，战术研究专家和情报公司如 Flare 强调实验室与生产服务器之间的距离。为了使入侵在受控环境之外有效，**攻击者必须克服内存随机化（ASLR）**并将代码调整到每个编译的特定参数。

多位分析师证实，公告后传播的公共工具在真实环境中失败，这导致像 Sansec 这样的公司重新校准了其对大规模攻击的初步预测。

<<试图表明媒体夸大了风险。这是一个真正的漏洞，但由于其技术细节，实际的利用危险较低>>，分析师 hackerfantastic 在总结这一观点时表示，关于漏洞的操作限制。

关于炒作和实证证据的辩论

这一漏洞重新引发了关于行业如何管理网络安全警报及人工智能辅助发现的传播影响的讨论。对于某些领域而言，媒体的紧迫性往往会掩盖技术的可行性，导致不必要的警报和因预防性断开而产生的运营成本。

作为这一辩论的实证反映，一位开发者启动了一个公共实验：配置了一个易受攻击的服务器，并在其中放置了一个比特币钱包，提供余额给能够执行远程命令的人。

在网络上暴露了几天后，经济激励保持不变，这是社区通常引用的一个指标，用于描绘 代码中的理论漏洞与现实世界中的有效利用之间的鸿沟。

立场的对比为行业决策提供了明确的教训：优先考虑补丁而非恐慌：应用更新仍然是必要的，但 风险评估必须区分漏洞的存在与大规模攻击的实际可能性。

• **危机沟通的校准：**行业面临在不夸大风险或对结构性故障掉以轻心的情况下沟通漏洞的挑战。

• **深度防御的评估：**操作系统级别的障碍被证明在补丁到达之前对中和理论威胁至关重要。

围绕 PHP2Shell 的争议表明，人工智能将加速计算机漏洞的发现；网络安全面临的挑战是准确评估哪些发现需要关闭系统，以及哪些仅代表有限的测试环境风险。

本内容仅供参考，不构成任何金融、投资、法律或税务建议。文中提及的任何活动、奖励、线上活动或相关信息，不应被视为对购买、出售或交易任何加密资产的推荐、招揽或邀请。加密资产具有高波动性，存在价值损失风险。WEEX服务、产品及相关活动的可用性可能因地区而异。用户在参与前有责任确保符合当地适用法律法规。