PHP2Shell 漏洞由 LLM 发现，藏匿 14 年未被人察觉
PHP 藏了 14 年的漏洞，被 GPT-5.6 Sol 和 Gemini 4 Argon 先后挖出来了，看完你就知道 AI 挖洞到什么水平了。
PHP2Shell 是 PHP 的一个高危漏洞，最早存在于 2012 年发布的 PHP 5.4 中，潜伏十余年未被人工发现。安全公司 Calif 参与 OpenAI 的 Patch the Planet 项目，用 GPT-5.6 Sol 扫描 PHP 代码，于 2026 年 8 月 1 日发现首个 bug，后又发现两个相关 bug。另一家公司 Wiz（2026 年初被 Google 收购）用 Gemini 4 Argon 配合自家的自动化漏洞挖掘系统 Wiz Atlas，独立发现了同一漏洞及其两个变体。Wiz 将 PHP2Shell 与 2012 年的 Heartbleed、2021 年的 Log4Shell 并列，认为它证明 AI 能找到人工长期遗漏的漏洞。
เบื้องหลังช่องโหว่ PHP2Shell เกิดจาก LLM เจอช่องโหว่ที่มนุษย์หาไม่เจอเป็นสิบปี Body เบื้องหลัง ช่องโหว่ PHP2Shell ช่องโหว่ระดับวิกฤตของ PHP ที่สร้างความปั่นป่วนให้วงการเว็บทั่วโลก เกิดจากการใช้โมเดล LLM ช่วยค้นหาช่องโหว่ที่ซับซ้อนสูง จนมนุษย์หาไม่เจอมาเป็นสิบปี (ช่องโหว่นี้มีมาตั้งแต่ PHP 5.4 ที่ออกในปี 2012) หน่วยงานแรกที่ค้นพบช่องโหว่ตัวแรก (จากสองตัวของ PHP2Shell) คือ บริษัทวิจัยความปลอดภัย Calif ที่เข้าร่วม โครงการ Patch the Planet ของ OpenAI ซึ่งเชิญบริษัทความปลอดภัยมาใช้โมเดลรุ่นใหม่ๆ ค้นหาช่องโหว่ของโครงการโอเพนซอร์สต่างๆ (โมเดลที่ใช้คือ GPT‑5.6 Sol) Calif บอกว่าเลือก PHP เพราะน่าจะมีผลกระทบสูง และได้ประสานงานกับ PHP Foundation ล่วงหน้าว่าจะเข้ามาศึกษาช่องโหว่ความปลอดภัยของ PHP โดย Calif บอกว่าตอนแรกไม่คิดว่าจะตรวจพบช่องโหว่ที่ร้ายแรง เพราะทุกคนน่าจะใช้ AI ตรวจสอบโค้ดของ PHP กันจนปรุไปหมดแล้ว แต่สุดท้ายกลับค้นพบบั๊กตัวแรกในวันที่ 1 สิงหาคม 2026 และนำไปสู่บั๊กอื่นๆ อีกสองตัว รวมกันเป็นช่องโหว่ตัวแรกของ PHP หน่วยงานที่สองคือ Wiz บริษัทความปลอดภัยที่ถูกกูเกิลซื้อกิจการเมื่อต้นปี 2026 ใช้โมเดล Gemini 4 Argon ค้นพบช่องโหว่เดียวกันในช่วงไล่เลี่ยกัน (เจอหลัง Calif แต่ Wiz เจอทั้งสองตัวเลย) Wiz บอกว่าบั๊กที่เกี่ยวกับหน่วยความจำมีความซับซ้อนสูงเป็นปกติ เพราะแค่ใช้ PHP ต่างเวอร์ชันกัน ตั้งค่าคอนฟิกต่างกัน พฤติกรรมของแอพต่างกัน ก็มีผลให้ค้นหาบั๊กได้แตกต่างกัน ในยุคที่ยังไม่มี AI จำเป็นต้องค้นหาช่องโหว่ด้วยมือ ซึ่งทำได้ยาก Wiz ใช้โมเดล Gemini 4 Argon, GPT-5.6 Sol ร่วมกับระบบค้นหาช่องโหว่อัตโนมัติ Wiz Atlas ของตัวเอง สามารถค้นหาช่องโหว่นี้ได้สำเร็จ (แต่ไม่บอกรายละเอียดว่าเจออย่างไร) ความเห็นของ Wiz คือ PHP2Shell จะเป็นอีกจุดเปลี่ยนสำคัญของโลกความปลอดภัย เช่นเดียวกับช่องโหว่ดังๆ ในอดีต เช่น Heartbleed ในปี 2012 และ Log4Shell ในปี 2021 เพราะแสดงให้เห็นว่า AI สามารถช่วยค้นหาช่องโหว่ที่มนุษย์หาไม่พบมาเป็นเวลานานได้ ที่มา - Calif , OpenAI , Wiz , PHP Foundation mk Thu, 22/10/2026 - 20:11
