資安業者Wiz運用多款AI模型找出PHP2Shell重大漏洞

PHP開發團隊於10月21日修補名為PHP2Shell的重大漏洞。通報該漏洞的資安公司Wiz指出，問題源於PHP處理請求遇記憶體耗盡（OOM）時的清理流程不完整，導致記憶體釋放後再存取（Use After Free）等弱點。Wiz表示，驗證實際攻擊流程極為複雜，手動調查難以達成，團隊藉由前沿AI模型消除驗證障礙，並在WordPress與Drupal等CMS完成驗證後通報確認。

值得帶走的重點

• Wiz表示研究人員借助多款AI模型，在8月下旬找出自2012年PHP 5.4版即存在的兩項漏洞，並於WordPress等平臺完成利用驗證。
• 該漏洞除被PHP團隊歸類為遠端程式碼執行（RCE）外，Wiz指出攻擊者還能藉此讀取記憶體中的密碼、權杖與API金鑰等機敏資料。