PHP2Shell：前沿模型把十年旧洞做成互联网级 RCE，协调披露变成产品线

十年前，在 PHP 解释器深处找一条能从默认安装打到 shell 的路径，通常意味着长期的手工逆向、运气和极窄的 exploit 手艺。2026 年 10 月 21 日公开的 PHP2Shell 说明：那道门槛已经塌了一截。Wiz 的说法是，这些缺陷「存在了超过十年」；同一天 OpenAI 把它写成 Patch the Planet 的公开样板——前沿模型、政府协调、补贴与五阶段响应框架并排出现。

TL;DR：2026-10-21，PHP 发布 8.5.12 / 8.4.27 / 8.3.36 / 8.2.35，修掉两处未认证远程代码执行（CVE-2026-109618 内存破坏、CVE-2026-109619 陈旧全局态，CVSS 均为 9.2）。Wiz 自约 8-19 独立发现并复现 WordPress / Drupal / Joomla；OpenAI 研究员 Calif 用 GPT-5.6 Sol 经 Patch the Planet 另走一条线。真正的断层不在「又一个洞」，而在复杂度不再挡住利用——防守窗口与攻击工具链吃的是同一种能力。协调披露正在变成产品线。

一、两条独立发现，同一组补丁

时间线比口号清楚。据 PHP Foundation 博文，OpenAI 研究员 Calif（Ryan A）约 8 月 11 日报告；Wiz 约 8 月 24 日报告——两边互不知情。Wiz 自己的 PHP2Shell 报告把内部发现标在约 8 月 19 日，随后用多种模型工具链验证：Atlas、Gemini 4 Argon、GPT-5.6 Sol。OpenAI 协调披露页则强调 Calif 借助 GPT-5.6 Sol，走的是自家 Patch the Planet 管道。

漏洞本身并不「AI 风」。oss-security 与配套通告给出两枚 CVE：

CVE-2026-109618：内存破坏类缺陷，可导致未认证远程代码执行；
CVE-2026-109619：陈旧全局状态（stale global state）相关缺陷，同样未认证 RCE。

两枚 CVSS 均为 9.2。PHP 安全版本：8.5.12、8.4.27、8.3.36、8.2.35（以及相应的旧分支说明以官方公告为准）。Wiz 演示落在默认配置的 WordPress、Drupal、Joomla——不是「配错了才中」，而是常见 CMS 栈上的可达路径。Wiz 原文写明约 70% of websites 运行 PHP；该数字只引其报告，不作二次估算。

披露日前夜还有一次摩擦：PHP Foundation 记录，补丁相关材料在正式日之前泄露，Chainguard 被指打破 embargo。协调窗口本身也在被压力测试——后面会回到这一点。

二、复杂度不再是利用门槛

把叙事停在「大模型会找洞」会漏掉结构变化。PHP2Shell 的两处缺陷，按 PHP Foundation 与 Wiz 的表述，属于长期潜伏、需要跨模块理解才能串起来的解释器问题。过去，这类问题的「自然防护」是：读得懂的人太少，写得出可靠 exploit 的人更少。前沿 Agent 与工具链正在吃掉这层摩擦。

Wiz 用多模型交叉验证 exploit；OpenAI 侧 Calif + Sol 走的是另一条独立路径——同一组 CVE，两套发现流水线。这与本站此前写过的几条线同向：

前沿训练断网（#110）里，OpenAI 把「离线世界 + 代理红队」写进 safety case——能力被关进评测与训练前提；
Cairn 暴露面板（#89）则显示：开源 harness + 便宜模型 + 战术脚本，已经在公网上留下半自动入侵的取证窗口；
Astra 关键网络能力与 Anthropic 网络验证分档讨论的，是实验室如何给「能打洞」的模型设门口。

PHP2Shell 把对照拧紧了一层：防守窗口（Defender’s Window）与攻击工具链，共用同一能力源。OpenAI 原文把「把发现速度压进补丁与分发之前」写成产品目标；Wiz 侧证明独立红队同样能在数周内走完发现—利用—跨 CMS 验证。窗口两边的时钟，都在被同一类 Agent 加速。

同日 Wiz 还披露了 LiteLLM 供应链相关问题（本站选题池 #105）：代理与编排层的供应链面，和解释器级 RCE 不是同一个洞，却同属「能力扩散后的防守面扩张」。此处只占一句，不另开长文。

另一个容易被忽略的对照是：CVE 编号与补丁版本是「可核验的硬事实」，而「AI 发现」往往是叙事包装。PHP2Shell 两边都给了可核对的日期、工具名与独立路径——Calif 经 Patch the Planet，Wiz 经自有红队——这比「某模型又立功」更有信息量。真正要盯的是利用链是否仍依赖稀缺手艺：若默认 CMS 安装即可演示 RCE，稀缺性已经从「会不会挖」转移到「补丁有没有传到边缘节点」。

flowchart LR
  subgraph find [发现侧]
    A[Calif + GPT-5.6 Sol]
    B[Wiz Atlas / Argon / Sol]
  end
  subgraph vuln [十年旧洞]
    C[CVE-2026-109618]
    D[CVE-2026-109619]
  end
  subgraph resp [协调与补丁]
    E[SI Force / ONCD / CISA]
    F[PHP 8.5.12 等]
    G[Patch the Planet]
  end
  A --> C
  A --> D
  B --> C
  B --> D
  C --> E
  D --> E
  E --> F
  G --> A
  G --> E

三、协调披露产品化：Patch the Planet

若只修 PHP，这会是一条重要但常规的安全通告。OpenAI 选择把它挂在 Patch the Planet 名下：把模型辅助发现、跨机构协调、以及面向「前线防守者」的资源，收成可重复的产品叙事。

据 OpenAI 协调披露页（本机 curl 常 403，正文以该页可核对表述为准）：响应侧牵涉 White House SI Force、ONCD、CISA 等机构协同；并提出一套 五阶段响应框架——文中明确是 proposal（提案），不是已通过的立法或强制标准。同页提到约 $1 billion 量级的 Daybreak for Frontline Defenders 相关承诺/补贴表述（金额与名目以 OpenAI 原文为准，不外推用途明细）。

这和「负责任披露」旧伦理的差别在于主体：过去协调多依赖个人研究员、CERT 与厂商关系网；现在实验室把自己的发现管道、政府接口和资金故事绑在同一品牌下。效果是双向的——补丁日可以同时动员 PHP 发行版、云厂商与联邦通道；代价是 embargo 一旦被第三方打破（如 Chainguard 争议），产品化管道的信任成本也会被放大。PHP Foundation 选择在补丁日公开加强安全流程的计划，本身也是对「协调窗口可被第三方撕裂」的回应：上游项目开始把披露治理写成持续工程，而不只是单次 CVE 通告。

治理含义不必喊口号：当「谁有权用强网络能力」仍在验证分档与训练断网里讨价还价时，「谁有权把模型发现的洞做成全球补丁日」已经在跑流程。能力管制与能力动员，开始共用同一套机构通讯录。五阶段框架若只停留在提案层，它仍然改变议程——下次同类洞出现时，默认预期不再是「发邮件给 maintainer」，而是「能否进入某条品牌化协调管道」。谁进管道、谁被留在外，会变成新的权力分配，而不只是效率问题。

四、窗口之后剩什么

PHP2Shell 不会是最后一次「十年旧洞 × 前沿工具链」。解释器、虚拟机、网络栈里还有大量「人类团队排期排不到、模型可以穷举交叉」的表面积。Wiz 的 70% 网站表述，以及 WordPress / Drupal / Joomla 演示，只是把表面积翻译成运维语言：默认栈即暴露面。补丁发布日解决的是「有没有修」；真正拉长 Defender’s Window 的，往往是发行版延迟、共享主机未升级、镜像与容器层冻结在旧 minor——这些不在 CVE 公告的光圈里，却决定窗口另一侧有多少时间可被利用。

结构判断可以收成三句。第一，复杂度曾经是免费的防护层，现在不是——发现与利用的边际成本被 Agent 压低后，补丁速度与分发覆盖变成主约束。第二，Defender’s Window 与攻击流水线同源——关训练网、分档放能力、红队进 safety case，都改变不了「同一代模型也在对手侧可用」的对称；开源 harness 线（Cairn）把它写得更裸。第三，协调披露正在产品化——Patch the Planet、五阶段提案、十亿美元量级前线补贴，把「报告—修补—传播」从职业伦理推进成可融资、可公关、可对接白宫的产品线；它加快补丁日，也把失败（泄露、择优披露、品牌绑定）变成产品事故。

对读站内此前写过的训练断网与编排层入侵：一边是实验室把危险能力关进评测前提，一边是同一能力在解释器旧洞与公网 harness 上留下可达路径。中间那条正在变宽的缝，名字可以叫 Defender’s Window——但窗口两侧的时钟，已经由同一类系统在拨。PHP2Shell 的价值不在于证明「AI 会挖洞」，而在于把这口钟拨得足够响：下次再有十年旧洞被两条独立 Agent 流水线同时撞上时，问题清单应更短——补丁是否在边缘生效，协调管道是否可审计，以及攻击侧是否已经不再需要稀缺手艺。