PHP2Shell：AI 发现的 PHP 漏洞在公开披露前已遭利用

CSA 研究笔记梳理了 AI 辅助发现的 PHP2Shell 两个 PHP 运行时漏洞（CVE-2026-109618、CVE-2026-109619），二者 CVSS 均为 9.2、可未授权远程执行代码，而亚马逊 MadPot 蜜罐在 2026 年 10 月 17 日、公开披露前四天就记录到一次利用尝试。受支持分支已在 PHP 8.5.12、8.4.27、8.3.36、8.2.35 修复，但 Modat 估计约 79% 的暴露服务运行的是不再获上游支持的分支，PHP 团队仅提供 7.4、8.0、8.1 的最小源码回移。Wiz 称其 Wiz Atlas 平台配合 Gemini 4 Argon 和 GPT-5.6 Sol 于 8 月 19 日发现首个问题，并演示了对 WordPress、Drupal、Joomla 的未授权代码执行。