作者：默思編輯部 發布：2026-10-22
這次PHP2Shell（CVE-2026-109618、CVE-2026-109619）鬧得沸沸揚揚之後，網路上開始出現「這是AI找到的漏洞」的說法。但仔細查證各家原始報導，這個講法其實把兩起完全不同的事件搞混了。
根據Help Net Security引述Wiz研究人員的說法，PHP2Shell牽涉的記憶體狀態錯誤其實存在已久，過去要能真正利用它，需要非常複雜的攻擊鏈，門檻很高。Wiz指出，前沿AI模型大幅降低了這個門檻，讓一個長期存在但很難被實際利用的缺陷，變成可操作的攻擊手法。換句話說，目前查證到的資料顯示AI在PHP2Shell裡扮演的是「幫忙把舊漏洞武器化」的角色，而不是「AI掃描原始碼發現了這個漏洞」。
同樣叫作「XX2Shell」、同樣是未驗證RCE，今年稍早還有一起WordPress核心漏洞「WP2Shell」（CVE-2026-63030、CVE-2026-60137）——這是不同的CVE編號、不同的受影響軟體（WordPress核心，而非PHP語言本身）。根據Dark Reading等媒體報導，WP2Shell是由Searchlight Cyber研究員Adam Kues，使用AI模型對WordPress整個原始碼樹進行審查後，串連起幾個子系統之間的細微行為而找到的攻擊鏈——這才是真正「AI主動發現核心漏洞」的案例。
把PHP2Shell和WP2Shell混為一談，會讓人誤以為這次PHP核心漏洞是AI發現的，進而低估人工漏洞研究與情資流出在這起事件中的真實角色。對關心「AI會不會取代資安研究員」的人來說，這兩起事件剛好提供一組對照：一個是AI加速了漏洞的「利用」，一個是AI真的完成了漏洞的「發現」，兩者意義並不相同，值得分開理解，而不是用同一句話帶過。
參考資料