PHP2Shell的PoC刷屏GitHub，能跑通的几乎没有

PHP2Shell 公开之后，GitHub 上一夜之间冒出了几千个“概念验证”脚本。如果你这两天被这些仓库吓到，可以先松半口气。

开发者 Elias Taylor 拿这些 PoC 在原生 PHP 环境里挨个试，结论是：一个都跑不通。

他翻了不少代码，发现很多脚本有个共同点，前提条件苛刻得离谱。比如要求目标服务器本身已经有严重的文件包含漏洞，人家都能包含任意文件了，还用得着你这个 PoC？这种东西证明不了 PHP 这个洞有多普遍、多好打。

那这几千个仓库是哪来的？他的判断是大模型批量生成的。有人让 LLM 照着漏洞公告“写一个利用脚本”，模型就给你写一个看起来像模像样的，然后直接推上 GitHub 蹭热度，没人去真的验证。

所以他的观点是，这次不是 Log4Shell 或者心脏滴血那个级别的危机。Log4J 那会儿是一行字符串就能打穿，PHP2Shell 的实际利用门槛要高得多。

这个说法我基本同意，但有两点别忽略。

第一，PHP 官方和安全团队已经验证过 mod_php 场景下攻击可以在业务代码之前触发，漏洞本身是真的，9.2 分也不是乱打的。第二，Cloudflare 在规则上线后确实观察到了针对客户的攻击流量。GitHub 上的假 PoC 多，不代表懂行的人手里没有真的。

更讽刺的是整件事的两头：漏洞是 GPT-5.6 帮忙挖出来的，满屏的假利用脚本也大概率是模型生成的。同一类工具，一边帮防守方抢时间，一边往信息池里倒噪音。Taylor 最后那句吐槽挺到位，很多人对 AI 产出的东西完全不做判断，拿来就信。

该升级还是得升级。只是下次再看到“全网七成网站一夜爆雷”这种标题，可以先去看看那些 PoC 到底能不能跑。