PHP2Shell：AI 挖出影响七成网站的核心 RCE — Hacker News 中文摘要
来源：wiz.io — 362 分
📋 概述
Wiz 研究团队在 PHP 核心引擎里发现多个关键漏洞，可未授权远程执行代码，也能像 Heartbleed 那样泄露进程内存——里面可能有密码、token、API key 和证书。攻击面与应用代码无关，因为问题在运行时本身；过去十年的每个 PHP 版本至少中一个，最早可回溯到 5.4。这些架构层面的缺陷存在了十几年，但要串成可用 exploit 需要极端复杂的链条，前沿模型把这个门槛大幅拉低了。
🔑 核心要点
- CVSS 最高 9.2，影响约 70% 的网站，包括 WordPress、Drupal、MediaWiki。
- 漏洞在 PHP 运行时本身，网站代码或插件写得再安全也没用。
- 内存泄露可读到其他请求的密码、认证 token、API key 与证书。
- Wiz 用前沿模型在数小时内跨多个应用做出可用 exploit，并适配不同内存布局。
- Wiz 把这次披露类比 Heartbleed 与 Log4Shell：复杂度不再是可靠的安全边界。
💡 金句
These findings rank among the most severe vulnerabilities discovered in PHP, and arguably in software history.
👍 0
👎 0
← 返回 Hacker News 首页