AI 挖穿了 PHP，全球七成网站今晚紧急更新

今晚 PHP 官网挂出了很少见的紧急安全公告。两个洞，一个代号：php2shell。CVE-2026-109618 和 CVE-2026-109619，都是 CVSS 9.2，不用登录、不需要你的代码有任何问题，攻击发生在你的应用代码运行之前，WordPress、Drupal、Magento 全在影响面上。PHP 占了已知服务端语言网站的 69.3%。一个是内存爆掉瞬间清理半成品数据，一个是上一个请求留下的指针指向已释放内存。细节都在图里。改配置、关错误显示、加 WAF 都只是降低风险，官方原话：只有升级到 8.5.12 / 8.4.27 / 8.3.36 / 8.2.35 是完整修复。8.1 以下的，连官方新版都没有。但这篇最想讲的其实是另一件事：这两个藏了十多年的洞，是 AI 挖出来的。OpenAI 说 Calif 用 GPT-5.6 Sol 找到的；Wiz 说 Gemini 4 Argon 贡献特别大。两家抢功、没人给量化拆分，我在最后一张里写了判断。能确定的是 Wiz 那句话：单个研究者约一周，做完了过去顶级团队几个月的工作量。Cloudflare 已经观察到真实攻击流量了。手里有 PHP 站的，今晚先升级，别等。
来源：php.net 官方公告、Rapid7、Cloudflare、Wiz、WSJ（2026-10-21）。封面、第 2 张、第 8 张均为官方原图。数据为分析整理，非亲手复现 exploit。
#网络安全 #PHP #人工智能 #程序员 #服务器安全 #漏洞 #AI