Wiz 技术长 Tomer Schwartz 在 TechCrunch 播客节目《Equity》中表示，团队之所以能找到 PHP2Shell 这类漏洞，关键在于 AI。他直言，「没有 AI 就找不到」，并提醒目前多数网站仍未完成修补，类似的重大漏洞接下来会越来越常见。
AI 将漏洞研究效率放大数百倍
Schwartz 说，如果让 Wiz 最强的 10 名漏洞研究员去寻找这类问题，可能需要几个月，甚至 12 个月，最后还不一定能找到结果。针对上周引发广泛关注的 PHP2Shell，Wiz 的做法是让 AI 同时尝试大量不同思路，再由研究员从结果中筛选最有价值的方向进行验证。
他介绍，Wiz 使用的是自建框架 Atlas，运行在 Google DeepMind、OpenAI 和 Anthropic 的前沿模型之上。具体流程是让每位研究员先提出 20 个思路，再把这些方向交给 Atlas 跑一个周末，等到下周回来再挑选结果。按他的说法，这种方式「现在可以把一个研究员的产出放大 100 倍、1,000 倍」，而且很多时候模型返回的内容已经接近成品，人只需要做验证。
Wiz 官方博客列出的相关工具包括 Atlas、Gemini 4 Argon 与 GPT-5.6 Sol，并称一名研究员在一周内完成了过去需要世界级团队数月才能完成的工作。
PHP2Shell 风险高，影响范围广
Schwartz 讨论的正是 PHP2Shell。该漏洞的 CVSS 评分为 9.2，攻击者在不需要账号密码的情况下，就可能从远程在服务器上执行程序代码。Wiz 官方博客还指出，过去十年发布的每个 PHP 版本，至少受到其中一个漏洞影响。
按文中粗略估算，PHP 支撑着全球约 70% 的网站，WordPress、Drupal 以及维基百科使用的 MediaWiki 都在这一范围内。
漏洞存在多年，AI 改变了发现方式
对于这个问题为何隐藏了 12 年才被真正打穿，Schwartz 表示，PHP 团队原本就觉得相关区域「有点问题」，最早在 2020 年甚至更早就出现过相关信息，但一直没有人做出可用的攻击程序，也没有人提交过能够从远程稳定触发的版本。
他认为，真正改变局面的就是 AI。现在研究人员可以投入大量 token，在不同思路之间来回切换，大规模尝试过去过于耗费人力的工作。也正因为这样，那些过去只是被认为「可能敏感」的区域，才开始被逐一检查。
协调披露承压，部分项目未赶上补丁
Schwartz 还提到，在消息走漏后，参与协调的各方担心，只要外界知道大致位置，其他人就可能借助 AI 找出同类漏洞，因此决定提前发布。这也导致部分下游项目来不及推出修补版本。
他认为，协调披露（coordinated disclosure）本身就存在缺陷。按照他的说法，先私下通知维护者、等修好再公开的机制，如果要让防守方提前准备，就必须扩大知情范围，而这个内圈很可能扩大到数百人，所以「我不怪任何人走漏」。
多数工作负载仍未修补，小型自建站点风险更高
对于修补进度，Schwartz 表示，Wiz 每天都会从客户环境和全网扫描中持续监测，目前「仍然多数工作负载没修补」。他担心，未修补的长尾问题会持续很久，因为给正在运行的网站打补丁，往往要先找到负责人，再确认新版已经正确安装。
至于普通小网站是否需要担心，他说，WordPress 托管、Wix、GoDaddy 这类大平台大多已经知情，通常可以直接在后台完成修复，或者通知客户处理。真正更危险的，是过去自行搭建 WordPress、又没有依赖大平台的小商家。如果用户无法确认自身情况，可以询问所使用的平台，或通过 Wiz 搭建的说明网站 php2shell.com 联系。
该网站明确写道，漏洞存在于 PHP 本身，网站程序代码即使写得再安全，也仍会受到影响。唯一完整的修复方式，是升级 PHP 并重启服务；仅更新 WordPress 等应用程序，并不会同步更新底层 PHP。首批修补版本分别为 8.2.35、8.3.36、8.4.27 和 8.5.12。
Wiz：重大漏洞公布频率正在变化
对于这类高危漏洞是否会变成常态，Schwartz 的判断是会。他表示，「这不会是唯一一个」，未来几周和几个月还会有重大漏洞公布。过去一年只出现一个「年度最严重漏洞」的节奏，正在发生变化。
Wiz 在博客中把 PHP2Shell 与 2014 年的 Heartbleed、2021 年的 Log4Shell 相提并论，认为这可能会成为 AI 时代的一个类似转折点：当完成这类工作的时间和专业门槛下降后，复杂度本身将不再构成屏障。
小公司需要重新设计修补机制
对于没有专门安全团队的小公司，Schwartz 给出的建议更偏向系统架构。他说，如果未来每个月甚至每周都出现类似漏洞，依赖人工排期的修补周期将「永远跟不上」。企业需要从第一原理重新思考，系统是否能够随时下线、自动修补，环境是否已经全部代码化，并能持续部署。
他还认为，小公司在这方面反而可能更有优势，因为大型企业往往背负大量旧系统，调整难度更高。对于那些业务建立在信任之上、并处理敏感个人信息的初创公司，他建议资安专家最好就是联合创始人，或最早加入的员工之一，否则企业将面临「每周都是消防演习」的局面。
