昨天安全圈炸锅了，GPT发现了一个PHP大漏洞，外号叫PHP2Shell。

我一开始也以为是营销号吓唬人，结果看完资料，这次真得重视。

这个漏洞包含两个CVE，评分都是9.2，超危。

简单说，攻击者不用登录，就能远程在服务器上执行代码，等于直接拿到控制权。

更离谱的是，影响范围从PHP 5.4开始，几乎把老版本一网打尽。

发现过程也很有戏剧性：安全公司Calif的研究员用OpenAI的GPT-5.6 Sol审计PHP源码时挖出来的，Google旗下Wiz也独立发现了。

其实2024年就有人发现过类似缺陷，但当时觉得利用难度高、修复麻烦，补丁被搁置了。

结果AI一介入，直接把"能不能真打"给证明了，这才促成紧急修复。

漏洞披露后，荷兰、芬兰部分政府网站临时下线，FBI也发警告，建议修不了的机构先下线。你就说这排面大不大。

官方唯一彻底方案就是升级：PHP 8.5.12、8.4.27、8.3.36、8.2.35已经修复。

还在用7.4、8.0、8.1的，官方给了最小源码补丁，也可以问Linux发行版供应商有没有回溯修复包。

如果实在没法立刻升级，官方建议临时把memory_limit设成-1，再调低post_max_size，但这只是降低风险，不能替代升级。

另外，mod_php模式风险最高，能换就换。

AI在安全领域真是双刃剑。

它能把人类审计算不过来的代码翻个底朝天，漏洞发现速度会越来越快；但攻击者也能用AI加速找利用链，攻防节奏都会卷起来。

这次最讽刺的是"2024年就发现过但搁置了"。很多老漏洞不是没人看见，而是被"难度高、影响小"说服了。

AI的价值不只是发现，更是证明"这事儿真能打"，逼着大家动起来。

对普通用户来说，你用的CMS、插件、主机，背后都是PHP，能升级就升级。

对企业来说，别把PHP当"老古董"放着不管，该升级升级，该上WAF上WAF，该做资产盘点做盘点。别存侥幸心理。