漏洞影響範圍與嚴重性

Wiz Research 發現的漏洞被歸納為兩個 CVE：CVE-2026-109618 和 CVE-2026-109619，最高嚴重度評分為 CVSS 9.2。這些漏洞影響 PHP 5.4 及之後的所有版本，涵蓋全球約 70% 的網站基礎設施。

攻擊者可在未經身份驗證的情況下，透過遠端請求觸發記憶體洩漏或程式碼執行。受影響的伺服器可能洩露其他請求或伺服器本身的敏感資料，包括密碼、認證權杖、API 金鑰和憑證。

漏洞位於 PHP 核心引擎處理致命錯誤（特別是記憶體不足錯誤）的過程中。當請求異常結束時，PHP 內部狀態可能損壞，後續請求若重用該工作程序（worker），便會讀取或執行已釋放的記憶體內容。

技術原理：記憶體釋放後使用與類型混淆

CVE-2026-109618 涉及上傳進度處理中的反序列化器「釋放後使用」（use-after-free）問題。PHP 在處理 multipart 請求初期初始化會話狀態，若發生記憶體不足錯誤，請求堆疊被銷毀但全域指標仍指向已釋放的記憶體。後續請求可能將攻擊者控制的記憶體視為有效的反序列化簿記資料，導致記憶體損壞或程式碼執行。

CVE-2026-109619 包含兩個子問題：致命錯誤回溯追蹤的「釋放後使用」以及 OPcache 類型混淆。前者因 PHP 保留最近一次致命錯誤的回溯資訊於全域變數，記憶體不足時該指標懸空；後者則因 OPcache 在持久化編譯結構時，若分配失敗會導致共享狀態與本地狀態不一致，引發跨工作程序的類型混淆。

這些漏洞的利用不依賴特定應用程式（如 WordPress）的程式碼缺陷，而是 PHP 引擎本身的行為。即使是最簡單的「Hello World」應用，只要運行在受影響的 PHP 版本上，都可能成為攻擊目標。

AI 在漏洞發現與利用開發中的角色

Wiz Research 指出，這些底層缺陷存在超過十年，但將其轉化為可實際運作的攻擊鏈極其複雜。傳統方法需要研究員手動追蹤不同 PHP 版本、配置和應用程式行為下的記憶體佈局差異，並反覆調試以適應目標環境。

團隊使用 Wiz Atlas、Gemini 4 Argon 和 GPT-5.6 Sol 等前沿 AI 模型輔助分析。AI 協助自動調整攻擊程式碼以適應不同版本的記憶體配置，大幅縮短了從發現到驗證可利用性的時間。Wiz 表示，過去需要世界級團隊數月的工作量，現在單名研究員在一週內即可完成。

Google DeepMind Gemini Security 負責人 Raluca Ada Popa 評論稱，AI 幫助防禦者彌補了複雜漏洞發現與利用之間的差距，使長期存在的弱點變得可被實際攻擊。

產業協作與緩解措施

PHP 團隊已於 2026 年 10 月 21 日發布修補程式，修復核心引擎中的記憶體安全問題。該修補程式消除了所有已知變體，建議用戶立即更新 PHP 版本。

由於 PHP 廣泛部署於雲端、託管服務和 CDN 基礎設施，Wiz Research 與 Google Cloud、Cloudflare、AWS、Microsoft、Automattic（WordPress 母公司）、Fastly、Akamai 等供應商合作，為無法立即更新的客戶提供檢測規則和開箱即用的緩解措施。

Wiz 用戶可透過 Wiz Threat Intel Center 獲取詳細建議，包括無代理漏洞檢測、執行時利用檢測及自動響應策略。使用最新 Sensor 版本（1.0.12768）的用戶可啟用自動終止異常 PHP 工作程序的策略。

偵測建議與後續行動

在系統完成修補前，防禦者應監控異常的多部分（multipart）請求後伴隨的記憶體限制錯誤或重複 HTTP 500 回應。此外，意外過大或格式錯誤的 PHPSESSID 響應 Cookie，以及無法解釋的 PHP 工作程序頻繁重啟，均可能是攻擊跡象。

Wiz Research 強調，應用 PHP 安全更新是唯一完整的修復方法。

負責任披露時間線顯示，漏洞於 2026 年 8 月 19 日發現，8 月 24 日上報 PHP 團隊，9 月 21 日獲得確認並開始開發修復，最終在 10 月 21 日發布修補程式並公開披露。