AI 资源库 · 已整理 7 项
查看与PHP相关的 AI 资讯、工具、Skill、工作流和开源项目。
PHP 发布了 8.5.12、8.4.27、8.3.36 和 8.2.35 四个版本，修复两个严重的远程代码执行漏洞（远程代码执行指攻击者无需登录就能在服务器上运行自己的代码）。亚马逊在这批补丁发布前四天就记录到了一次利用尝试，说明漏洞在修复前已被攻击。运维人员当天忙着确认自己是否运行 PHP、从哪里获取升级包，以及如何验证补丁已经生效。对读者的用处是：如果你或你的团队在用 PHP，应尽快升级到对应版本，并检查是否已被利用。文章未说明漏洞具体细节、受影响范围细节，也未说明各版本的发布时间差异。
提供的材料未提及具体可用工具。
本周，欧洲多国政府网站和公共服务下线，原因是新披露的两个 PHP 漏洞（CVE-2026-109618 和 CVE-2026-109619，合称 PHP2Shell）。这两个漏洞出在 PHP 运行环境本身，不在某个应用或框架里，攻击者可在应用代码运行前就触发远程代码执行或泄露内存中的密码、令牌、密钥；因此只有打补丁才管用，光靠应用层认证防不住。PHP 社区和基金会联合各长期支持厂商，在 10 月 21 日同步为所有受支持版本发布了修复，也为已停止支持的旧版本提供了补丁。背景是 AI 让漏洞发现变快，OpenAI 的 Patch the Planet 项目用 GPT-5.6 Sol 协助发现了该漏洞，并预计类似发现会明显增多；但估计仍有约 40% 的 PHP 用户在用不再受支持的版本，升级并不轻松。
zblogcn/agent-skills · 面向 AI 编码助手（Claude Code / Cursor / Codex / Trae 等）的 Z-BlogPHP 开发技能。统一入口技能为 zblogphp-agent-skills，覆盖项目识别、主题、插件、模板、Hook、数据库、API、后台和安全开发。
该项目为 Claude Code、Cursor、Codex、Trae 等 AI 编码助手提供 Z-BlogPHP 开发技能，统一入口技能 zblogphp-agent-skills 覆盖项目识别、插件开发、主题开发、Hook 钩子、数据库、API、后台与安全开发。项目附带按需读取的参考资料，以及用于生成插件/主题骨架、检查模板标签配平、检查语言包一致性和识别站点目录的脚本。README 标注适用 Z-Blog PHP 1.7.5 与 PHP 8.2+。
2026 年 10 月 21 日，PHP 项目发布紧急更新，修复两个代号 PHP2Shell 的严重漏洞（CVE-2026-109618 和 CVE-2026-109619），严重程度评分均为 CVSS 9.2。问题出在 PHP 自身：当请求处理中途失败时，PHP 没有把内部状态清理干净，攻击者可以故意触发失败，再借留下的残留数据，在无需登录的情况下远程执行任意代码，甚至泄露密码、令牌和 API 密钥。修复办法只有升级 PHP，已发布 8.5.12、8.4.27、8.3.36、8.2.35 四个补丁版本；8.1 及更早版本没有官方补丁，需要自行打源码补丁或用发行版回溯修复。漏洞细节在补丁发布前已泄露，Cloudflare 已观测到攻击，荷兰众议院和英国 NCSC 一度下线网站预防。普通用户和企业应尽快升级 PHP 或通过系统包管理器安装修复版本，用容器的要重新构建镜像，暂时无法升级的只能用官方建议的配置降低部分攻击路径风险。
提供的材料未提及具体可用工具。
PHP 项目在 2026 年 10 月 21 日发布了 8.5.12、8.4.27、8.3.36、8.2.35 四个版本，修复两个严重漏洞：攻击者不需要登录、也不用任何账号，只要发送恶意网页请求，就可能直接在服务器上运行自己的代码，危害极大。问题出在 PHP 引擎处理请求的流程里，而不是某个第三方包，所以升级 PHP 本身才是解决之道。官方说没有完全规避的办法，唯一安全的选择就是升级；如果仍用 8.1 或更早版本，需要找系统发行版或长期支持厂商拿回补丁，或者直接升级。另外 10 月 23 日补充了一个编号 CVE-2026-115560 的变体绕过问题，只有应用在运行时动态切换 session 序列化方式才可能受影响，普通部署可以暂时不用紧张。读者应尽快确认每台机器实际运行的 PHP 版本，不要只看扫描结果。
提供的材料未提及具体可用工具。
安全研究人员用 AI 模型（如 OpenAI 的 GPT-5.6 Sol 和 Google 旗下 Wiz 的工具）在 PHP 编程语言里发现了两个严重漏洞，合称 PHP2Shell，攻击者可借此在服务器上执行恶意代码。PHP 官方紧急为 8.2 到 8.5 版本发布修复，Cloudflare、Automattic 等公司也上线了防护，但 Chainguard 在约定披露时间前六小时就抢先发布补丁镜像，引发 PHP 基金会不满。这件事暴露出一个新问题：AI 让找漏洞变得容易，而评估和修复仍需时间和专家，小项目更难应对。 Anthropic 的研究也显示 Claude 在 25 个开源项目里找出 493 个安全问题。对普通读者来说，这意味着你用的网站和服务可能更频繁地收到紧急安全更新，也提醒开源维护者的压力正在加大。
安全公司 Calif 借助 OpenAI 的 Patch the Planet 计划，用一个 AI 模型在 PHP 语言里找到可远程执行代码的严重漏洞，Wiz 等也独立报告了同一问题。PHP 维护者其实在 2024 年就注意到相关内存耗尽异常的迹象，但直到今年八月才看清完整危害，随后发布 8.2.35、8.3.36、8.4.27、8.5.12 等修复版本。问题在于补丁正式发布前细节已外泄，Chainguard 提前六小时多公开了打好补丁的镜像，引发是否违反协调披露禁发期的争论。对读者来说：若运行公开可访问的 PHP 服务，应尽快升级到修复版本，并假定可能已被探测甚至入侵。