一个原本被当成“最多让程序崩溃”的 PHP 内存 Bug，差点变成远程接管服务器的入口。 这就是 PHP2Shell。 这个漏洞早在 2024 年就被报告了… · @RwatitFahsa · TwKit

@RwatitFahsa

一个原本被当成“最多让程序崩溃”的 PHP 内存 Bug，差点变成远程接管服务器的入口。 这就是 PHP2Shell。 这个漏洞早在 2024 年就被报告了。因为看起来只是内存溢出，长期没人把它当成大事。 直到今年，Calif 在 OpenAI 赞助的 PHP 安全审计中，借助 AI 工具，两周内把它推成了真正的攻击链： 读取敏感数据。 在服务器上执行任意代码。 安装恶意软件。 甚至影响大量 WordPress、Drupal 网站。 好消息是，白帽研究人员先发现了它，补丁也赶在攻击者之前发布。 坏消息是，AI 正在把“发现漏洞”的门槛越推越低。 它不一定能独立完成攻击，但能让顶尖专家做得更快，也让原本差一点的攻击者，开始摸到更深的技术细节。 而修漏洞永远比找漏洞难： 攻击者只需要找到一条路， 防守者却要堵住所有路，还不能把正常功能一起修没。 PHP2Shell 最值得警惕的，不是 PHP 本身。 而是几十年积累的技术债，正在被 AI 一层层照出来。 看到安全更新，别想着下周再装。 https://spectrum.ieee.org/ai-in-cybersecurity-php2shell-vulnerability

曝光 292 · 评论 3 · 点赞 5 · 书签 0