打补丁还是下线：CSA 解析 PHP2Shell 与 AI 加速的基础组件缺陷

2026年10月21日，PHP 项目发布修复版本，修复两个无需认证即可触发的远程代码执行漏洞 CVE-2026-109618 和 CVE-2026-109619（合称 PHP2Shell），CVSS v4.0 评分 9.2，影响近十年发布的所有 PHP 版本。Wiz 与 OpenAI 将漏洞发现很大程度归功于前沿 AI 模型，TechCrunch 则更正称漏洞由人类研究员发现、AI 主要用于构建利用，但双方都认为 AI 压缩了从缺陷到可用利用的路径。美国 NSA、英国 NCSC、欧盟 CERT-EU 和日本政府建议无法立即打补丁时将系统下线，爱丁堡、牛津两议会和伦敦警察厅等网站一度下线，报道时未确认成功入侵。CSA 将此类事件归纳为关联暴露问题，认为 AI 辅助的漏洞发现与利用正触及嵌入最广的基础软件层，并指出 Amazon 在补丁发布前四天已观察到利用尝试。