潜伏十余年的PHP2Shell漏洞紧急修补，波及约七成网站
先了解这件事
2026年10月21日，PHP基金会紧急披露两个CVSS 9.2未认证远程代码执行漏洞（CVE-2026-109618/109619，合称PHP2Shell），并同步发布修复。受影响版本可回溯至2012年的PHP 5.4，PHP支撑约70%网站。早先报道称，OpenAI的Calif用GPT-5.6 Sol发现漏洞，Google旗下Wiz也独立发现，两家联手用约两个月完成修复；PHP基金会承认2024年已察觉迹象但未修复。协调披露在发布前两天泄露，Amazon称公开前四天已出现利用尝试，Cloudflare称利用从公开前数千次增至数百万次。NSA、FBI等发布警报，法国、丹麦、芬兰、荷兰等国政府网站与Wikimedia部分系统预防性下线。后续报道称攻击者用AI把补丁diff转成利用脚本，PoC数小时内涌现数十个；TechCrunch更正称漏洞由人类研究员发现、AI主要用于构建利用。
AI 根据报道生成 · 2 天前更新
事件进展
- · 1篇报道评论称人类自满放大AI发现漏洞的风险
- · 1篇报道PHP2Shell漏洞暴露发现与修复差距
- · 1篇报道评论：AI加剧开源软件漏洞危机，呼吁科技巨头出资维护
- · 1篇报道多方警告AI驱动网络攻击激增
- · 1篇报道评论：AI将PHP内存漏洞武器化，问题不在语言
- · 1篇报道HKCERT警告PHP2Shell严重漏洞并呼吁修补
- · 1篇报道PHP核心两枚RCE漏洞CVE-2026-109618/109619被披露
- · 3篇报道Wiz用AI模型发现PHP存在十余年的两个漏洞
- · 6篇报道OpenAI与Google模型发现PHP关键漏洞
- · 1篇报道Cloudflare 为 php2shell 漏洞部署 WAF 防护
- · 1篇报道WordPress 回应 PHP 运行时严重漏洞
- · 11篇报道AI发现PHP高危漏洞致多国政府网站下线
- · 22篇报道GMO Flatt Security 发布 PHP 任意代码执行漏洞 php2shell（CVE-2026-109618
- · 9篇报道OpenAI用AI发现PHP关键漏洞并协调披露
- · 1篇报道php.net 被曝存在安全漏洞
后续时间线
- 网页cnBeta· 媒体跟进AI发现了互联网隐藏多年的漏洞 修复它们的人快忙不过来了（新标签页打开原帖）
- 网页AI Threat Watch (aithreat.io)· 媒体跟进Эра AI-Driven Zero-Day: как уязвимость PHP2Shell навсегда изменила DevSecOps и кибербезопасность（新标签页打开原帖）
- 网页BleepingComputer· 媒体跟进Even after PHP2Shell, blast radius matters more than a CVSS score（新标签页打开原帖）
- CSA Labs Research打补丁还是下线：CSA 解析 PHP2Shell 与 AI 加速的基础组件缺陷
2026年10月21日，PHP 项目发布修复版本，修复两个无需认证即可触发的远程代码执行漏洞 CVE-2026-109618 和 CVE-2026-109619（合称 PHP2Shell），CVSS v4.0 评分 9.2，影响近十年发布的所有 PHP 版本。Wiz 与 OpenAI 将漏洞发现很大程度归功于前沿 AI 模型，TechCrunch 则更正称漏洞由人类研究员发现、AI 主要用于构建利用，但双方都认为 AI 压缩了从缺陷到可用利用的路径。美国 NSA、英国 NCSC、欧盟 CERT-EU 和日本政府建议无法立即打补丁时将系统下线，爱丁堡、牛津两议会和伦敦警察厅等网站一度下线，报道时未确认成功入侵。CSA 将此类事件归纳为关联暴露问题，认为 AI 辅助的漏洞发现与利用正触及嵌入最广的基础软件层，并指出 Amazon 在补丁发布前四天已观察到利用尝试。
- 网页AI Threat Watch (aithreat.io)· 媒体跟进Researchers warn of surging law firm cyber attacks fueled by AI（新标签页打开原帖）
- 网页AI Threat Watch (aithreat.io)· 媒体跟进Hackers exploit critical PHP flaws in the wild（新标签页打开原帖）
- 网页The New York Times · Technology· 媒体跟进AI Is Finding a Flood of Bugs, and Silicon Valley Is Rushing to Fix Them（新标签页打开原帖）
- 网页AI Threat Watch (aithreat.io)· 媒体跟进Cette faille identifiée par une IA aurait pu entraîner une catastrophe de cybersécurité（新标签页打开原帖）
- 公众号Doonsec· 媒体跟进AI 驱动的网络攻击成本降低，网站安全防护面临的新挑战（新标签页打开原帖）
- 网页AI Threat Watch (aithreat.io)· 媒体跟进PHP2Shell and the Future of AI-Discovered Vulnerability Disclosure: Evidence, Verification, and Human Authority（新标签页打开原帖）
- iThome（台湾）重大漏洞PHP2Shell傳出駭客成功利用，於伺服器執行Shell指令
- 网页AI Threat Watch (aithreat.io)· 媒体跟进Last Week’s Critical PHP Warning Was the Tip of the Web Vulnerability Iceberg（新标签页打开原帖）
- 网页AI Threat Watch (aithreat.io)· 媒体跟进AI突破底层引爆核弹级网安风暴 PHP漏洞考验全球防御力（新标签页打开原帖）
- Cobalt 安全研究博客补丁即发令枪：PHP2Shell 漏洞与 AI 的 PoC 竞速
PHP2Shell 是 PHP 的两个严重 RCE 漏洞（CVE-2026-109618、CVE-2026-109619），补丁 10 月 21 日发布，Amazon 威胁情报称攻击者提前四天开始利用。攻击者用 AI 把补丁 diff 转成利用脚本，数天的工作缩至数小时。公开 PoC 数小时内涌现数十个，多数无效，VulnCheck 称不少仅在关闭 ASLR 的 x86 或 ARM64 上有效；8.5.12、8.4.27、8.3.36、8.2.35 已修复，8.1 及更旧版本无补丁。
- 网页AI Threat Watch (aithreat.io)· 媒体跟进PHP2Shell: hackers ya explotan los fallos críticos de PHP（新标签页打开原帖）
- 网页AI Threat Watch (aithreat.io)· 媒体跟进La IA descubrió una vulnerabilidad "oculta" durante más de una década（新标签页打开原帖）
- 网页AI Threat Watch (aithreat.io)· 媒体跟进PHP2Shell : le mea culpa de la PHP Foundation dévoile une faille bien au-delà du code source…（新标签页打开原帖）
- 网页AI Threat Watch (aithreat.io)· 媒体跟进PHP2Shell делает 70% веба уязвимым к удалённому выполнению кода, пока ИИ обнаруживает многолетние уязвимости（新标签页打开原帖）
- 网页BleepingComputer· 媒体跟进CISA confirms PHP2Shell vulnerabilities now exploited in attacks（新标签页打开原帖）
- Business Insider JapanAI挖出的PHP漏洞被提前公开，引发网络安全恐慌
Chainguard CEO丹·洛伦克提前公开了一个影响全球约70%网站的PHP漏洞，打乱了补丁应用期间信息应保密的协调披露安排，引发网络安全恐慌。该漏洞由AI工具历时数月发现、OpenAI担任协调方，美英欧澳加网络当局于10月21日相继发布紧急警告，多国政府预防性关停网站。Cloudflare CEO马修·普林斯称利用尝试从公开前的数千次增至数百万次，AWS称漏洞已在真实环境中被广泛利用，但暂未确认大规模入侵。洛伦克在LinkedIn道歉，同时向POLITICO称因漏洞已遭利用才决定提前披露；PHP Foundation则指其单方面破坏披露协议。文章称，这一事件令网络当局自先进AI工具问世以来担忧的事态成为现实。
- 网页AI Threat Watch (aithreat.io)· 媒体跟进PHP : faille critique, retraits de sites et ruée des hackers（新标签页打开原帖）
- 网页AI Threat Watch (aithreat.io)· 媒体跟进Une faille PHP montre que « l’apocalypse des vulnérabilités » liée à l’IA est dans les temps : le PDG d’Immunefi（新标签页打开原帖）
- 网页AI Threat Watch (aithreat.io)· 媒体跟进PHP flaw shows AI ‘vulnerability apocalypse’ is on schedule: Immunefi CEO（新标签页打开原帖）
- RedditReddit r/artificial· 讨论AI is exposing how fragile the web really is. What you can do to stay safe（新标签页打开原帖）
- 网页AI Threat Watch (aithreat.io)· 媒体跟进七成网站卷入PHP漏洞警报：当AI开始自己找漏洞，企业安全怎么防？（新标签页打开原帖）
- 网页BleepingComputer· 媒体跟进PHP2Shell security flaws now sucessfully exploited in the wild（新标签页打开原帖）
- 网页AI Threat Watch (aithreat.io)· 媒体跟进首例黑客利用核心网页程序“PHP”的安全漏洞侵入现实中的政府机构的受害案例已得到确认。黑客将人工智能（AI）投入实战，将从入侵到控制所需的时间缩短至2小时，国家信息基础设施防御形势骤然吃紧。攻击方的具..（新标签页打开原帖）
- 网页AI Threat Watch (aithreat.io)· 媒体跟进PHP2Shell : la faille PHP et la divulgation qui a dérapé（新标签页打开原帖）
- 网页AI Threat Watch (aithreat.io)· 媒体跟进AI挖出隐藏十几年的高危漏洞，互联网要不太平了（新标签页打开原帖）
- 网页AI Threat Watch (aithreat.io)· 媒体跟进一个PHP漏洞公开45分钟后，攻击量暴涨百倍的黑色十月（新标签页打开原帖）
- 网页cnBeta· 媒体跟进Cloudflare警告AI正加速发现软件漏洞 互联网或面临多年安全震荡期（新标签页打开原帖）
- 网页AI Threat Watch (aithreat.io)· 媒体跟进Cloudflare警告AI 正加速发现软件漏洞互联网或面临多年安全震荡期（新标签页打开原帖）
- 网页AI Threat Watch (aithreat.io)· 媒体跟进Cloudflare警告AI正加速发现软件漏洞 互联网或面临多年安全震荡期（新标签页打开原帖）
- 网页AI Threat Watch (aithreat.io)· 媒体跟进Microsoft: China Hackers Unleash AI-Powered Cyberattacks Targeting Supply Chains（新标签页打开原帖）
- 网页AI Threat Watch (aithreat.io)· 媒体跟进Sitios web de todo el mundo cierran después de que la IA detectó una vulnerabilidad que afecta al 70% de internet（新标签页打开原帖）
- 网页AI Threat Watch (aithreat.io)· 媒体跟进Una inteligencia artificial encontró en dos días cómo explotar una falla de PHP abierta durante 22 años（新标签页打开原帖）
- InfobaeAI 在两天内找到利用存在 22 年的 PHP 漏洞的方法
OpenAI 近日披露，AI 在两天内找到了利用一个存在 22 年的 PHP 关键漏洞的方法，该漏洞已通过安全更新修复。漏洞可能被用于窃取密码和数据库、泄露信息或控制网站，而 PHP 支撑着约 70% 的网站；其风险早在 2004 年 7 月就由安全研究员 Stefan Esser 警告，此前难以利用是因为攻击者需让服务器在精确时点内存耗尽，依赖缓慢重复的人工尝试。2026 年 7 月 30 日，专注于 AI 的安全公司 Calif 研究者在 OpenAI 的 Patch the Planet 计划中将大语言模型应用于 PHP，8 月 1 日找到攻击方法，其后又发现多种变体；Wiz 随后找到更多利用方法，并称这是软件史上最严重的漏洞之一。补丁发布前漏洞信息遭泄露，Cloudflare 记录到数千次攻击尝试；CrowdStrike 指出旧版本 PHP 仍在运行，补丁未必解决了所有问题。
- 网页AI Threat Watch (aithreat.io)· 媒体跟进PHP2Shell : une faille critique de PHP déclenche l’alerte mondiale（新标签页打开原帖）
- 网页IT之家· 媒体跟进网络安全专家：AI 发现的漏洞，很快或将引发新的安全隐患（新标签页打开原帖）
- X@cxaqhq· 讨论PHP2Shell 有在真实目标上打成功的吗？我感觉现在没啥动静了（新标签页打开原帖）
- 公众号 大模型安全研究PHP2Shell：AI 把十年老漏洞变成武器，沉睡的恶龙一夜被唤醒
PHP 官方 10 月 21 日紧急修复合称 PHP2Shell 的两个 CVSS 9.2 严重漏洞，缺陷在 Zend 引擎潜伏十余年，Wiz 估计影响约七成互联网网站。安全公司 Calif 借助 GPT-5.6 Sol 发现其中一类缺陷，Wiz 用 Wiz Atlas 叠加 Gemini 4 Argon 与 GPT-5.6 Sol 独立发现两个漏洞，并在 WordPress、Drupal、Joomla 上验证了无需认证的远程代码执行；Wiz 称过去需顶级团队数月的利用开发现在约一周可完成。Cloudflare 统计漏洞公开后 45 分钟利用尝试升至数万次、截至 10 月 22 日累计突破数百万次，暂无确认成功的 RCE 案例。作者判断 AI 压缩了漏洞从存在到可被利用的时间差，修复须升级 PHP 运行时并重启每个 worker，仅更新应用代码无效。
- Página|12开源编程语言 PHP 漏洞使全球大多数网站易受网络攻击
开源编程语言 PHP 的一个漏洞使全球大多数网站易受网络攻击，许多网站已被管理员预防性断网。该漏洞在 AI 模型辅助下被发现，安全补丁已发布，但专家预计将出现一波利用 AI 抢在后续安全更新之前发动入侵的黑客攻击。
- 网页AI Threat Watch (aithreat.io)· 媒体跟进OpenAI模型帮助发现PHP漏洞——《日本时报》（新标签页打开原帖）
- 网页AI Threat Watch (aithreat.io)· 媒体跟进Hackeos con IA desbordan Internet: falla en PHP expuso al 70% de la web（新标签页打开原帖）
- 网页AI Threat Watch (aithreat.io)· 媒体跟进AI-Driven PHP Vulnerability Triggers Global Cybersecurity Alert（新标签页打开原帖）
- TIME精选AI 发现的 PHP 漏洞险些酿成网络安全灾难
Wiz 研究员 Sagi Tzadik 让 AI 智能体把 WordPress 的一个漏洞复现到 Drupal，智能体未成功却顺带找到 PHP 语言一个十余年未被察觉的漏洞。另一家安全公司 Calif 与 OpenAI 合作用 AI 发现了相关漏洞，两家向 PHP 维护者报告后联手，约 15 人的团队几乎每日协作定位共同源头并制定补丁。补丁公开前两天消息走漏，Calif 又误发利用演示视频，Cloudflare 统计到公开前数千次、公开后 45 分钟内数万次、两小时内数十万次攻击尝试，最终达到数百万次。补丁发布后，政府机构与部分维基百科页面被预防性下线。OpenAI 称这些 PHP 漏洞是其已发现并正在修复的多个重要漏洞之一，预计类似发现未来数月将大幅增加。
- The Guardian · 人工智能“黑色十月”：网络安全专家警告 AI 辅助黑客攻击进入新阶段
- Semafor人类自满制造了 AI 时代最大的问题
OpenAI 模型帮助发现一组 PHP 漏洞，令互联网大部分暴露于强大漏洞利用之下，拙劣的披露流程又让黑客抢先利用。作者称，AI 没有制造这个问题，人类自满才是根源：漏洞已存在十余年，Stefan Esser 早在 2004 年就发现该类漏洞，PHP Foundation 称其 2024 年审计中曾推演到这一风险但未处理。
- Transformer网络灾难初现？OpenAI 项目发现 PHP 与 Node.js 重大漏洞
OpenAI 的 Patch the Planet 与 Daybreak 项目用 AI 发现 PHP 两个重大漏洞，另在 Node.js 发现一处独立漏洞，修复前细节泄露。政府网站和 Internet Archive 等紧急下线打补丁；关键基础设施提供方在漏洞公开前有两个多月处置时间，但许多站点更新需数周至数月。OpenAI 预计未来数月类似发现将大幅增加。
- CSA Labs ResearchPHP2Shell：AI 发现的 PHP 漏洞在公开披露前已遭利用
CSA 研究笔记梳理了 AI 辅助发现的 PHP2Shell 两个 PHP 运行时漏洞（CVE-2026-109618、CVE-2026-109619），二者 CVSS 均为 9.2、可未授权远程执行代码，而亚马逊 MadPot 蜜罐在 2026 年 10 月 17 日、公开披露前四天就记录到一次利用尝试。受支持分支已在 PHP 8.5.12、8.4.27、8.3.36、8.2.35 修复，但 Modat 估计约 79% 的暴露服务运行的是不再获上游支持的分支，PHP 团队仅提供 7.4、8.0、8.1 的最小源码回移。Wiz 称其 Wiz Atlas 平台配合 Gemini 4 Argon 和 GPT-5.6 Sol 于 8 月 19 日发现首个问题，并演示了对 WordPress、Drupal、Joomla 的未授权代码执行。
- ZDFAI 发现的 PHP 安全漏洞：网站为何下线、后续如何应对
AI 在广泛使用的编程语言 PHP 中发现严重安全漏洞，引发全球警报：安全更新可用之前，漏洞细节已被公开，许多网站运营者担心遭攻击，预防性将网站下线。NANO 节目邀请 Hasso-Plattner-Institut 安全研究者 Christian Dörr 解读此类漏洞的成因、对个人数据的风险以及为何尽快修复至关重要。
- Arctic WolfPHP2Shell：两个 PHP 严重漏洞可致未认证远程代码执行
PHP 开发团队于 10 月 21 日发布紧急安全更新，修复 CVE-2026-109618 和 CVE-2026-109619 两个 CVSS v4.0 评分 9.2 的严重漏洞（合称 PHP2Shell），未认证攻击者可以受影响 PHP worker 进程的权限执行代码。受影响部署包括 Apache mod_php、PHP-FPM、php-cgi、FrankenPHP 和 LiteSpeed，Apache mod_php 被列为风险最高的配置，官方修复版本为 PHP 8.5.12、8.4.27、8.3.36 和 8.2.35。据 OpenAI 称，这两个漏洞由参与其 Patch the Planet 项目的研究者使用前沿模型并结合专家人工复核发现和验证。
- X @iapsAIPHP 本周曝出两个严重漏洞，无需登录即可接管服务器
本周 PHP 出现两个严重漏洞，攻击者无需登录即可接管服务器。X 账号 @iapsAI 发帖称，PHP 支撑着全球约 70% 的网站，目前企业和政府正竞相修补。
- BitdefenderBitdefender 技术通告：PHP2Shell 预认证远程代码执行漏洞（CVE-2026-109618、CVE-2026-109619）
Bitdefender 发布技术通告，详述 PHP 两个预认证远程代码执行漏洞 PHP2Shell（CVE-2026-109618、CVE-2026-109619），所有未修补且处理 Web 请求的 PHP 安装都受影响，Apache mod_php 风险最高。两个漏洞 CVSS v4.0 评分 9.2，均为 PHP 工作进程中的内存破坏缺陷，公告评估其为运行时缺陷而非应用缺陷，在 mod_php 上更新 CMS 或加固应用不改变暴露面。PHP 已于 2026-10-21 发布修复版本 8.5.12、8.4.27、8.3.36 和 8.2.35，7.4、8.0、8.1 及更早分支没有官方修复，PHP 称更新是唯一安全选择。
- Luiza's Newsletter（AI 治理）AI 安全警钟：GPT-5.6 Sol 与 Gemini 4 Argon 挖出的 PHP 漏洞细节外泄
Calif（与 OpenAI 合作）和 Google 旗下 Wiz 的研究者用 GPT-5.6 Sol、Gemini 4 Argon 挖出的两个关键 PHP 漏洞细节本周外泄，约 70% 的互联网站点面临风险。PHP Foundation 承认 2024 年已发现其中一个问题的迹象，却因分歧、技术难题与资源不足未修复，NSA 建议立即安装更新或下线受影响系统。美国政府评估显示，Z.ai 的 GLM-5.3 在网络安全能力上仅落后美国领先模型四个月，且开放可用。
- CBS News · Technology影响全球 70% 网站的 PHP 漏洞，你该了解什么
网络安全研究人员使用一个先进的 OpenAI 模型发现了一个影响全球约 70% 网站和 Web 应用的 PHP 长期漏洞，并将其命名为 PHP2Shell，该漏洞至少已存在十年。华尔街日报记者 Robert McMillan 称，这类缺陷极其复杂，人工排查可能需数月，而 AI 能更快完成这种繁琐耗时的任务。PHP 基金会周三表示已发布修复补丁及更新说明；FBI 网络部门确认漏洞可能让攻击者远程植入恶意软件，并建议无法立即修补的机构暂时下线网站。SentinelOne 的 Andrés Guerrero-Saade 表示，这一事件既体现 AI 加速漏洞研究者的能力，也提升了攻击者的利用能力，而补丁发布到被利用之间的窗口正被 AI 缩短。
- ndr.dePHP安全漏洞：AI可能全天候传播威胁
PHP 爆出严重安全漏洞，汉堡人工智能中心负责人称全球约 70% 网站受影响，德国联邦信息安全局已发布警告并建议安装更新。攻击者可借此窃取密码、将用户重定向至假冒网站套取网银密码等交易数据，汉堡人工智能中心、汉堡大学等网站一度下线。专家称漏洞深藏代码多年、人类难以发现，而 AI 能在数小时内发现并利用此类漏洞、全天候传播威胁。
- 404 MediaAI 正在改变黑客攻击的一切，没人知道接下来会发生什么
AI 正在从根本上改变黑客攻防，接下来的走向难以预测。Wiz、Calif 与 OpenAI 研究人员用 AI 发现了 PHP 的 PHP2Shell 漏洞，Cloudflare CEO 称其网络上的利用尝试从公开前 10 小时的数千次增至如今的数百万次。AI 让大规模试探互联网漏洞变得极其容易，但修复部署未必同样加快。
- The Guardian · 人工智能互联网又坏了：PHP 两处严重漏洞致荷兰、芬兰政府服务与 Wikimedia 部分系统主动下线，靠开源赚取数十亿的科技公司该出钱修复吗？
PHP 两处严重漏洞迫使荷兰、芬兰部分政府服务及 Wikimedia 部分系统主动下线，Cloudflare 称已发现数百万次利用尝试。该语言支撑约 70% 可追踪网站，漏洞按 10 分制计 9.2，OpenAI、Wiz 等研究者曾用 AI 工具发现其易被利用。研究者 2025 年记录约 48,000 个漏洞、2026 年已超 84,000 个，作者呼吁靠开源获利的科技公司与政府出资维护。
- CNBC · TechnologyPHP 严重 Web 安全漏洞引发全球警报，Google、OpenAI 和 Amazon 参与应对
PHP 被发现两个严重漏洞（合称 PHP2Shell），可能让攻击者在受影响服务器上远程执行恶意代码。美国国家安全局（NSA）、FBI 及新加坡、英国、澳大利亚、加拿大和欧盟机构发布警报，NSA 建议无法立即更新的机构将受影响系统下线。Amazon 称其 MadPot 威胁检测系统在漏洞公开前已检测到利用尝试，但攻击者如何提前获知漏洞尚不清楚。Google 称其网络安全部门 Wiz 使用 AI 模型帮助发现和调查漏洞，Gemini AI 参与评估漏洞、测试攻击和验证补丁；OpenAI 称研究人员与其 AI 模型协助发现了这些漏洞，并在公开披露前的两个月里领导联盟协调修复。Cloudflare 已通过 Web 应用防火墙部署针对 PHP2Shell 的防护，PHP 开发团队已发布安全修复。
- Semafor网页开发者就 AI 驱动的网络攻击敲响警钟
网页开发者用 AI 发现影响全球大多数网站的漏洞后，一系列 AI 网络攻击警告加剧了该技术将压垮全球企业和政府系统的担忧。Cloudflare 称利用该漏洞的尝试激增，Microsoft 警告与中国关联的黑客组织用 AI 入侵一家 IT 服务公司，市售聊天机器人据称也被用于攻击银行。《The Information》记者称，AI 进展或令 OpenAI 所称的“防御者窗口”临近关闭。
- Tom's HardwareOpenAI 称 GPT-5.6 Sol 帮助发现可能影响 70% 网站的关键 PHP 漏洞
OpenAI 10 月 21 日称，其 Patch the Planet 网络安全项目的研究者使用 GPT-5.6 Sol 发现了 PHP 中的关键安全漏洞。PHP 是估计支撑约 70% 互联网的开源编程语言。OpenAI 表示随后协调了研究者、PHP 维护者、安全厂商与政府网络安全机构，用两个月完成修复，并将耗时归因于任务复杂、需对 PHP 引擎做较大改动。
- mint存在十余年的 PHP 漏洞危及网站安全：AI 如何发现它、谁受影响、如何防护
Wiz Research 在 PHP 核心引擎中发现两个内存安全漏洞 CVE-2026-109618 与 CVE-2026-109619，攻击者无需认证即可远程执行代码、窃取服务器内存中的密码、认证 token 与 API key；相关漏洞于 2026 年 10 月 21 日公布，PHP 同步发布安全更新。PHP 支撑全球约 70% 的网站，受影响版本可回溯至 PHP 5.4，运行受影响版本的站点都可能暴露，研究者演示了对 WordPress、Drupal 和 Joomla 的攻击，漏洞本身位于 PHP 而非这些平台。Wiz 称团队使用 Wiz Atlas、Google 的 Gemini 4 Argon 和 OpenAI 的 GPT-5.6 Sol 定位漏洞，并把复杂内存错误转化为可工作的利用手法，还借助 AI 测试补丁。
- Qiita说“还用PHP的人活该”的人才最危险
Qiita 作者撰文反驳 PHP2Shell 事件后“该怪用 PHP 的人”的言论，认为事件真正标志是 AI 已能把 C/C++ 运行时休眠的内存漏洞快速武器化。作者梳理的时间线称，这一缺陷（CVE-2026-109618 / CVE-2026-109619）2024 年已被 PHP 核心开发者察觉但找不到攻击路径，2026 年夏安全研究者借助 GPT-5.6 Sol 等模型的源码分析将其变成可用的远程代码执行攻击链，另一家大型安全公司也用 AI 智能体独立发现并验证，10 月攻击链信息泄露后 PHP 提前一天紧急发版。
- SysdigPHP2Shell（CVE-2026-109618 与 CVE-2026-109619）：检测 PHP 核心中的未认证远程代码执行
PHP 项目于 10 月 21 日发布紧急版本，修复 PHP 核心中两个未认证远程代码执行漏洞 CVE-2026-109618 与 CVE-2026-109619（CVSS 9.2），攻击者仅凭 HTTP 请求即可在服务器上执行代码。两个 CVE 归集了四个内存安全缺陷，共同根因是 PHP worker 在内存耗尽致命错误后未清理指向请求堆的全局指针，后续请求会用到已释放内存的陈旧指针；受影响代码可追溯到 2012 年的 PHP 5.4，缺陷位于引擎层，应用代码干净也无法避免暴露。报告漏洞的研究者称 AI 模型参与了漏洞发现与利用开发；Amazon 蜜罐在 10 月 17 日已见尝试，Cloudflare 于 10 月 21 日 07:43 UTC 报告早期攻击，比修复发布早六个多小时。
- HKCERTHKCERT 警告 PHP2Shell 严重漏洞：企业须立即排查修补 PHP 系统，AI 加速网络攻防进一步缩短响应窗口
HKCERT 警告 PHP 存在两个严重漏洞 PHP2Shell（CVE-2026-109618、CVE-2026-109619），远程攻击者可利用其执行未授权代码，修复版为 PHP 8.5.12、8.4.27、8.3.36、8.2.35。风险不限于网站服务器，网络、存储和监控设备的管理接口也可能内嵌 PHP。据公开信息，研究人员早在 2026 年 8 月用 AI 发现漏洞，披露后已出现大规模扫描攻击，AI 正缩短从披露到被利用的响应窗口。
- Financial Times · 人工智能Amazon 警告：利用 AI 发现的新网络漏洞正遭“广泛利用”
Amazon 警告，借助 AI 发现的新网络漏洞正被“广泛利用”。研究人员使用 OpenAI 和 Google 的模型，在全球大多数网站所使用的软件中发现了严重缺陷。
- Asahi Shimbun AJWPHP漏洞被忽视10年以上，最先进AI发现
- 위키트리全球七成网站使用的 PHP 被曝致命漏洞，各国进入紧急状态
PHP 被披露存在两个严重漏洞 CVE-2026-109618 与 CVE-2026-109619，在满分 10 分的评分中均为 9.2 分，攻击者无需登录或额外认证即可在服务器上执行恶意代码。PHP 开发团队把原定 22 日的更新提前到 21 日，发布 8.5.12、8.4.27、8.3.36、8.2.35 修复版本。荷兰、芬兰、丹麦、比利时多国的政府门户、学校与医院相关网站以及欧洲专利局曾暂停部分对外服务，欧洲 CERT-EU、ENISA 与 Europol 呼吁尽快打补丁。W3Techs 数据显示，在可识别服务器语言的网站中约 75% 使用 PHP。据外媒报道，美国一家网络安全公司借助 OpenAI 的 GPT-5.6 Sol 分析 PHP 代码时发现该缺陷，谷歌旗下安全公司 Wiz 也另行发现并上报，这一存在十余年的问题由此曝光。
- SemaforAI 帮助发现影响最多 70% 网站的漏洞
开发者在 AI 协助下发现一个影响全球最多 70% 网站的漏洞后，法国、丹麦、芬兰和荷兰周三将政府网站下线，日本首相敦促所有人当晚采取行动、应用新发布的修复。Google 旗下 Wiz 网络安全团队联合创始人告诉《华尔街日报》，称这是 AI 迄今发现的最严重漏洞，并称如果没有 AI，人类可能无法发现它。一位网络安全研究员告诉路透社，AI 将使黑客得以逆向工程该漏洞，公开修复会引发“利用竞赛”，黑客的下一步将是对互联网上所有易受攻击的 Web 服务器的大规模攻陷。
- 公众号 新智元OpenAI 披露 GPT-5.6 Sol 参与发现的两个 PHP 高危漏洞，补丁发布前已出现攻击
OpenAI 披露，研究者借助 GPT-5.6 Sol 在 PHP 引擎发现两个 CVSS 9.2 漏洞，并已在受影响部署中实现无需登录的远程代码执行。漏洞合称 PHP2Shell，由参与 OpenAI Patch the Planet 计划的 Calif 研究者发现，分别涉及内存耗尽时的处理顺序和释放后使用；Wiz 也独立发现并复现了攻击，W3Techs 统计可识别服务端语言的网站中 69.3% 使用 PHP。PHP 维护者主导修复、OpenAI 协调，原定 10 月 22 日统一披露，但漏洞编号、攻击演示视频和修复镜像在最后 48 小时接连泄露，补丁提前至 21 日发布，覆盖 PHP 8.5.12、8.4.27、8.3.36 和 8.2.35。
- 公众号 机器之心OpenAI 模型发现 PHP 重大安全漏洞，称其为近年来最具影响力的安全问题之一
OpenAI 宣布，其安全研究团队 Calif 使用 GPT-5.6 Sol 审计 PHP 代码库，发现两个允许未经认证远程代码执行（RCE）的严重漏洞，Google 旗下 Wiz 也独立发现了同样的问题。10 月 21 日 PHP 紧急发布 8.5.12、8.4.27、8.3.36 和 8.2.35 四个修复版本，漏洞统称「PHP2Shell」，CVSS v4.0 评分 9.2，受影响版本从 5.4 延伸到 8.5。OpenAI 称这可能是近年来最具影响力的安全问题之一，并提出「防御者窗口」概念，指 AI 先于攻击者发现漏洞、为修复争取时间。披露前一天漏洞信息泄露，Cloudflare 称在补丁发布前已观测到早期利用迹象，watchTowr 称 10 月 21 日已通过蜜罐观测到实际利用。CISA 等多国机构紧急敦促修补，维基媒体基金会关闭大量服务，多款日本游戏暂时停服。
- ELLIOPHP2Shell（CVE-2026-109618/109619）：首批利用请求在 PHP 发布修复前 5.5 小时到达，扫描工具携带 Mirai 风格加载器
2026年10月21日，PHP 发布两个 CVSS 9.2 未认证 RCE 漏洞（CVE-2026-109618、CVE-2026-109619，代号 PHP2Shell）的修复版本；ELLIO 传感器在修复公开前 5.5 小时捕获首批利用请求，到 21:00 UTC 已有 31 个地址发送 705 个请求。两个漏洞都在 PHP 解析请求阶段触发，无需登录或应用层缺陷；修复版本为 PHP 8.2.35、8.3.36、8.4.27 和 8.5.12，8.1 及更早版本没有官方修复。攻击工具随泄露材料分批出现，部分携带 Mirai 风格加载器，投递针对 64 位服务器的 Mirai 变种，作者判断其与 Nokia Deepfield 5 月报告的 potassium 家族同源；该变种有 22 种洪泛方法，可攻击 Minecraft 与 FiveM 服务器，但无自我传播和持久化。
- Shatteredphp2shell：AI 协助发现波及多达 70% 网站的 PHP 漏洞
PHP 基金会于 2026 年 10 月 21 日紧急披露两个 PHP 关键漏洞（CVE-2026-109618 和 CVE-2026-109619，绰号 php2shell）并同步发布修复。据报道，Calif 借助 AI 模型 GPT-5.6 Sol 发现了这些漏洞，安全公司 Wiz 也独立发现并报告了同一批漏洞，OpenAI、Google 和 Cloudflare 被列为响应贡献方。PHP 据报道支撑多达 70% 的网站和 Web 应用，Censys 扫描的 260 万台主机中约 150 万台在披露后仍运行未修补版本。PHP 基金会敦促立即更新，无法及时打补丁的系统应暂时下线，大规模在野利用尚未得到证实；文章预计今后会有更多披露公开署名 AI 辅助发现。
- The DecoderOpenAI GPT-5.6 Sol 与 Google Gemini 4 Argon 发现影响数百万网站的严重 PHP 漏洞
OpenAI 的 GPT-5.6 Sol 与 Google 的 Gemini 4 Argon 在攻击者之前发现了一个影响全球数百万网站的严重 PHP 漏洞，GitHub 上已有工具可供服务器运营者检查自己的 PHP 版本是否受影响。GPT-5.6 Sol 在 OpenAI 的 Patch-the-Planet 计划中发现该漏洞，OpenAI 称这是近期影响最大的安全问题之一；安全公司 Wiz 也用自家 Wiz Atlas 平台结合这两个模型独立发现了相同漏洞，并称 Gemini 4 Argon 在寻找漏洞、开发利用代码、构建攻击检测和验证补丁方面尤其有用。Wiz 指出，大语言模型能自动把利用代码适配到不同 PHP 版本、配置和内存布局，显著降低了跨部署环境扩大攻击的门槛。
- iThome（台湾）Wiz 借助 AI 找出存在超过 10 年的 PHP 安全漏洞 PHP2Shell
PHP 开发团队 10 月 21 日修复代号 PHP2Shell 的两个漏洞（CVE-2026-109618、CVE-2026-109619），通报漏洞的 Wiz 同日公布发现过程。漏洞最早可追溯到 2012 年发布的 PHP 5.4，Wiz 于 8 月下旬借助 Wiz Atlas、Gemini 4 Argon、GPT-5.6 Sol 等顶尖 AI 模型找出漏洞，在 WordPress、Drupal、Joomla 上验证后获 PHP 确认。Wiz 称，人工验证漏洞能否实际用于攻击原本极其困难，顶尖 AI 模型大幅消除了相关障碍，把长期存在的软件缺陷变成可利用的安全弱点，并称 PHP2Shell 是 PHP 史上最严重的漏洞。Wiz 强调漏洞存在于 PHP 本身，即使运行 Hello World 应用也可能曝险，除远程代码执行外攻击者还能读取进程内存中的密码、令牌和 API 密钥。
- TechCrunch AIPHP 末日：OpenAI 与 Google 旗下 Wiz 发现陈年漏洞，令互联网陷入恐慌
美国国家安全局（NSA）周三警告，PHP 存在两个严重漏洞，可让攻击者入侵服务器文件系统或 Web 应用所用的数据库，PHP Foundation 已发布补丁，无法立即修补的网站应先下线。漏洞自 2004 年发布的 PHP 5 起存在于所有版本，而 PHP 驱动约 70% 的网站、据一些统计超过 3300 万个站点；WordPress 声明漏洞并非其特有，站点需修补服务器并与托管商协作。漏洞由 AI 发现：安全公司 Calif 参与 OpenAI 的 Patch the Planet 计划，用 GPT-5.6 Sol 找到其中一个，Wiz 团队用 Wiz Atlas 安全 AI agent、Gemini 4 Argon 和 GPT-5.6 Sol 找到多个漏洞，双方均遵循负责任披露，在公开前完成补丁测试。建议更新到当前版本 PHP 8.5.12，PHP 8.1 及更早版本已停止支持。
- X @MinLiBuildsOpenAI 协调披露 AI 协助发现的 PHP 严重漏洞，作者警告补丁公开后恐被攻击者快速逆推
OpenAI 宣布，其模型在 Patch the Planet 计划中协助研究人员发现开源编程语言 PHP 的严重漏洞，并牵头联盟完成协调披露，补丁已发布，使用 PHP 的网站可升级新版本。PHP 据估计支撑约 70% 的网站，OpenAI 称修复历时两个月、需对 PHP 引擎做重大改动，并称其为近年影响最大的漏洞之一，也是 Defender's Window 的实例，即前沿 AI 抢在攻击者之前发现漏洞、给防守方留出准备时间。作者帖中称两个漏洞为 PHP2Shell、CVSS 均达 9.2 分，欧洲多国政府网站已主动下线避险，并提醒补丁公开后攻击者可对比新旧版本、借 AI 快速逆推漏洞原理。OpenAI 公告见 https://openai.com/index/coordinated-disclosure-of-critical-vulnerabilities/
- 公众号 量子位PHP 曝两个超高危漏洞，OpenAI 称 GPT-5.6 Sol 率先发现
PHP 曝出两个危险评分 9.2 的超高危漏洞（CVE-2026-109618、CVE-2026-109619），统称 PHP2Shell，最严重情况下攻击者无需登录即可远程执行代码，影响从 PHP 5.4 起的几乎所有版本。OpenAI 公告称，安全公司 Calif 在其 Patch the Planet 开源安全倡议下使用 GPT-5.6 Sol 发现了这些漏洞，Wiz Research 也独立发现并报告。官方已发布 PHP 8.5.12、8.4.27、8.3.36、8.2.35 修复版本，PHP 8.1 及更早版本已停止支持、无补丁可用，官方称唯一安全的做法是立即升级；研究人员已在部分 WordPress、Drupal、Joomla 部署上复现未经登录的远程代码执行，据路透社报道荷兰、芬兰等地一些政府网站已提前下线。
- The Record两个 PHP 漏洞引发担忧，数百个网站被下线
PHP 官方周二晚间紧急通告两个新漏洞 CVE-2026-109618 和 CVE-2026-109619，严重程度评分 9.2/10，可导致未修补网站远程代码执行，数百个网站周三下线。漏洞被称为 PHP2Shell，欧盟、美国、日本等多国发布警告，Nintendo 等公司也将服务下线；Cloudflare 称已看到攻击出现并发布临时缓解措施，watchTowr 称已观察到在野利用，利用工具借助 AI 编写。OpenAI 称，网络安全公司 Calif 的研究人员两个月前通过其 Patch the Planet 项目用其工具发现了这两个漏洞，并与 PHP 等公司合作测试修复、协调响应，但承认 AI 也能帮助攻击者利用漏洞。
- WIRED Security and AI「这不是演习」：PHP 严重漏洞正让互联网陷入危机
PHP 基金会发布紧急安全更新，修复两个 CVSS 评分 9.2 的严重漏洞，影响自 PHP 5 以来所有处理 Web 请求的 PHP 安装。漏洞 CVE-2026-109618 和 CVE-2026-109619 可让未认证攻击者在受影响服务器上执行代码或读取进程内存，其中可能包含密码、token、API key 和证书。Cloudflare 表示在更新发布前已看到早期攻击出现，Sansec 预计修复发布后 15 分钟内会出现大规模攻击，芬兰、法国政府部分网站和鹿特丹港网站曾为预防而下线。只有 PHP 8.2 及更新版本仍受支持并获得补丁，基金会称没有完整的缓解措施，更新是唯一安全的选择。Wiz 称其研究人员部分借助 AI 工具发现了漏洞，OpenAI 与安全公司 Calif 也表示独立发现并展开合作，演示代号为 php2shell。
- The Hacker NewsPHP 紧急发布补丁修复两个 PHP2Shell 严重远程代码执行漏洞，已出现利用尝试
PHP 发布紧急更新，修复两个可让未认证攻击者在 Web 服务器上执行代码的严重漏洞，合称 PHP2Shell，CVSS v4.0 评分 9.2。两个漏洞编号为 CVE-2026-109618 和 CVE-2026-109619，修复版本为 PHP 8.5.12、8.4.27、8.3.36 和 8.2.35，影响可回溯到 PHP 5.4 的几乎全部版本。缺陷位于 PHP 运行时本身，使用 Apache mod_php 的服务器风险最高，单个未认证请求即可在应用代码运行前触发攻击。漏洞由 Wiz、Calif 和 OpenAI Codex Security 团队发现，研究者称 AI 模型帮助把这些存在十多年的缺陷变成可用漏洞利用，一名研究者约一周完成了原本估计需要团队数月的工作。
- Wiz Research精选PHP2Shell：AI 发现影响全球 70% 网站的严重 RCE 漏洞
Wiz Research 披露 PHP 核心中的多个严重内存安全漏洞，归为 CVE-2026-109618 和 CVE-2026-109619，最高 CVSS 9.2，可导致无需身份验证的远程代码执行和进程内存信息泄露，PHP 已于 2026 年 10 月 21 日发布补丁。PHP 支撑全球 70% 的网站，近十年发布的所有版本均受至少一个漏洞影响，最早可追溯到 PHP 5.4，且漏洞位于 PHP 本身，与上层应用无关。团队将漏洞组合成 php2shell 利用脚本，在 WordPress、Drupal 和 Joomla 的最新容器镜像上演示了无需身份验证的 RCE，并可读取进程内存中的密码、认证令牌和 API 密钥等敏感数据。Wiz 与 PHP 团队、Calif 和 OpenAI 完成协调披露。
- CloudflareCloudflare 部署针对 php2shell 漏洞的防护措施
Cloudflare 已针对 PHP 的两个漏洞 CVE-2026-109618 和 CVE-2026-109619（合称 php2shell）部署 WAF 防护，比公开披露提前约 9 小时上线，10 月 21 日 3:02 UTC 起免费和付费 WAF 客户默认受保护。漏洞由 Calif.io、Wiz、OpenAI 和 Quarkslab 披露，影响运行 PHP 5.4 及以上版本的 Web 服务器，可导致拒绝服务、远程代码执行和数据泄露，根源是 PHP 处理 HTTP 请求出错时的内存安全问题。漏洞在正式披露前泄露，Cloudflare 观测到针对客户的攻击流量以及攻击者变换载荷绕过防护的尝试。由于缺陷在 PHP 运行时本身，仅更新网站代码或插件无法修复，管理员需更新 PHP 软件并保持 WAF 防护启用。
- WordPressCritical PHP Security Release
- CyberScoopPHP 紧急修复 2 个严重漏洞
PHP 项目周三紧急发布补丁，修复两个 CVSS v4.0 评分 9.2 的远程代码执行漏洞（CVE-2026-109618、CVE-2026-109619），研究者称之为 php2shell。截至周三下午尚无确认的在野利用，CISA 称未观察到利用行为，多家安全公司仅观察到针对 PHP 应用的探测与侦察。漏洞由 AI 安全公司 Calif 使用 OpenAI 网络安全模型 GPT-5.6 Sol 发现，OpenAI 称 Wiz 也独立发现并报告了该漏洞，并称前沿 AI 抢在攻击者之前发现漏洞、为防御方打开了准备窗口。Wiz 研究者称，该漏洞是存在数十年的内存安全问题，过去因利用开发复杂而难以被利用，AI 降低了开发和适配复杂利用的成本，改变了漏洞发现与利用的经济性。
- OpenAI精选OpenAI Patch the Planet：智能体发现高危漏洞后的全球响应协调
OpenAI 称，在 Patch the Planet 计划中，Calif 使用 GPT-5.6 Sol 发现 PHP 的一处高危漏洞，Wiz 也独立发现并报告了这两个漏洞，PHP 维护者主导了修复与发布。OpenAI 与 Wiz、Cloudflare 等伙伴以及美国政府机构协调，在披露前准备防护，并提出一套五阶段响应框架，涵盖验证并修复上游漏洞、让受影响组织提前准备、与政府合作、准备产品更新以及发布部署指南。OpenAI 还承诺通过 Daybreak for Frontline Defenders 提供 10 亿美元补贴访问额度，并预计未来数月类似高危发现会大幅增加。
- GMO Flatt Security BlogGMO Flatt Security 发布 PHP 任意代码执行漏洞 php2shell（CVE-2026-109618/109619）概要与对应指南，补丁前刻意少披露细节
- HackerOnePHP关键漏洞：安全团队应了解什么
PHP 发布修复，解决两个 CVSS v4 评分 9.2 的关键漏洞 CVE-2026-109618 和 CVE-2026-109619，均可导致未认证远程代码执行。漏洞在 PHP 运行时本身而非特定应用，PHP-FPM、Apache mod_php 等 Web 环境受影响。Calif 首先发现，Wiz 数周后独立发现，OpenAI 等参与协调披露。
- SecurityWeekPHP2Shell 漏洞补丁发布，已监测到首批在野利用尝试
PHP 发布补丁修复两个名为 PHP2Shell 的严重漏洞（CVE-2026-109618 与 CVE-2026-109619，CVSS 9.2），两个漏洞均已在 Apache mod_php 上确认可实现未认证远程代码执行，影响回溯至 PHP 5.4 的几乎所有版本，补丁包含在 8.5.12、8.4.27、8.3.36 和 8.2.35 中。WatchTowr 称在补丁发布前后监测到首批在野利用尝试但未观察到成功案例，Hadrian 称在野利用已具规模且多数攻击滥用 PHP 的 session upload-progress 路径。漏洞由 Wiz、OpenAI 和 Calif 于 8 月借助前沿 AI 模型发现并负责任披露，PHP Foundation 称 AI 帮助发现了比以往更多的 PHP 漏洞，7 月 1 日以来已发布 15 个新 CVE。
- The PHP FoundationPHP 发布安全更新，以及我们如何加强 PHP 安全
PHP 项目发布 PHP 8.5.12、8.4.27、8.3.36 和 8.2.35，修复两个在特定条件下可让未认证攻击者远程执行代码的严重漏洞。CVE-2026-109618 来自内存耗尽时残留的未初始化数据，CVE-2026-109619 来自致命错误后指向上一请求内存的旧状态，两者都位于内存管理与错误处理等核心路径。协调披露在发布前两天被提前泄露，CVE 编号伴随错误的 CVSS 10.0 传播（实际 9.2），Chainguard 又在 10 月 21 日协调发布前六小时发布含修复的镜像。PHP Foundation 称 2024 年外部审计已发现 OOM 问题线索，2026 年 Calif、OpenAI 和 Wiz 的报告确认了完整影响，AI 辅助研究也令报告数量上升。
- SemgrepPHP2Shell：两个 PHP 运行时 RCE 漏洞及修复方法
两个 PHP 运行时漏洞 GHSA-w8hw-w9fx-j79w 和 GHSA-6wmf-4rv5-p3rp 可导致远程代码执行，官方已在 PHP 8.5.12、8.4.27、8.3.36 和 8.2.35 中修复。GHSA-w8hw-w9fx-j79w 利用请求关闭阶段对失败请求清理不当造成的内存破坏，在 Apache 与 mod_php 下只需耗尽请求内存即可在应用代码执行前触发，因此任何能接收 Web 请求的 PHP 应用都受影响；作者称源码分析显示 FPM、FrankenPHP 和 LSAPI 也可能受影响。Semgrep 研究团队用两个开源权重模型仅凭公开信息、花费不到一杯咖啡的成本，就在 PHP 8.4.26 与 8.5.11 的 stock PHP/Apache 上复现了 RCE。
- GIGAZINE关键 PHP 漏洞 PHP2Shell 由安全公司 Calif 与 Wiz 用 AI 发现，应对措施借助 OpenAI 框架实施
PHP 关键漏洞 PHP2Shell（含 CVE-2026-109618 与 CVE-2026-109619 两个漏洞）由安全公司 Calif 与 Wiz 用 AI 独立发现，PHP 已于日本时间 2026 年 10 月 21 日深夜发布 8.5.12、8.4.27、8.3.36、8.2.35 应急更新。漏洞若被利用，攻击者可接管服务器、窃取机密数据或篡改服务器上运行的网站。据 Calif 称，作为 OpenAI 2026 年 6 月公布的 Patch the Planet 安全计划的一部分，其于 8 月 1 日发现首个漏洞、8 月 11 日报告 PHP，8 月 21 日发现第二个漏洞；Wiz 则于 8 月 19 日独立发现、24 日报告。Calif 还发布了可在 Nginx 上执行的漏洞利用演示视频。
- OpenAI精选Patch the Planet：OpenAI 用智能体发现 PHP 重大漏洞并主导全球协同响应
OpenAI 宣布，过去两个月里其 Patch the Planet 计划中的 Calif 使用 GPT-5.6 Sol 发现了 PHP 的重大漏洞，Wiz 也独立发现并报告了这两个漏洞，PHP 维护者已主导完成修复与发布。OpenAI、Wiz、Cloudflare 等合作方在漏洞披露前协同准备了防御措施；OpenAI 称前沿 AI 先于攻击者发现这些漏洞，为防御方赢得了披露前准备修复的窗口期。OpenAI 已将 PHP 版本检查器发布为 Codex 技能，建议使用 PHP 的组织优先应用修复，并承诺通过 Daybreak for Frontline Defenders 提供 10 亿美元的 Daybreak 使用资助。
- The TribuneAI 发现的 PHP 漏洞引发安全应急，欧洲等地政府网站下线
PHP 开发者周三发布紧急修复，修复借助 AI 发现的潜伏多年严重漏洞，欧洲等地政府网站预防性下线，全球网站运营者紧急应对。科技公司警告已有黑客在利用这些漏洞，由于修复已公开且 AI 工具能轻易逆向该漏洞，专家正准备应对一波入侵潮，TLP:Black 联合创始人 Costin Raiu 称 AI 正在推动一场“利用竞赛”。PHP 支撑着 WordPress、Drupal、Joomla 和 Magento 等大量网站，Drupal 协会临时 CEO Tiffany Farriss 称，使用过去 20 年内发布的任何 PHP 版本的服务器都将受影响。欧洲、澳大利亚、日本和英国的网络安全机构敦促用户立即更新或暂时下线网站，荷兰网络安全机构自身已预防性下线，Wikipedia 也下线了部分系统等待修补，日本首相高市早苗在 X 上提醒网站所有者检查上线网站是否使用 PHP 并准备应用新修复。
- X @wunderwuzzi23php.net 链接在 X 上被配爆炸表情发布
X 用户 @ryanaraine 发布了 php.net 链接并配以 🧨🔥 表情，@wunderwuzzi23 回应称“还没到周五”。
- 日期未标Associated Press部分网站临时下线 运营方修复 AI 发现的 PHP 漏洞
AI 辅助发现的 PHP 漏洞促使欧美政府和其他组织周三临时下线网站，以紧急安装安全更新。FBI 网络部门警告漏洞可让恶意行为者在 PHP 中远程执行代码，建议无法立即更新的运营者将网站下线，芬兰政府网站当天仅部分可用。PHP Foundation 已发布修复和更新说明。OpenAI 称其过去两个月牵头联合 Wiz、Cloudflare 等组成联盟处理这些漏洞，PHP 维护者主导修复发布，并称 AI 似乎抢在攻击者之前发现了漏洞、这些漏洞是近期影响最大的安全问题之一，预计类似发现未来数月将急剧增加。Arctic Wolf 研究人员估计 PHP 在已知服务端编程语言的网站中约占 70%，部分漏洞已存在十多年，改变的是 AI 找到弱点并转化为可用攻击的能力。
相关讨论
- X@PHPSiteAudit · PHP Site AuditChecking these flaws one at a time is how the chain gets missed. PHP2Shell (CVE-2026-109618 / CVE-2026-109619) is the…（新标签页打开原帖）
- X@georgiaweidman · Georgia WeidmanPHP2Shell had two critical vulnerabilities. Then a THIRD was disclosed. 😬 And the original patches didn’t fix it. CV…（新标签页打开原帖）
7 赞 · 2 评论·10月30日 04:49采集
- X@aarondfrancis · Aaron FrancisThe PHP vulnerability wasn't easy to exploit, but please know that it *is* exploitable. Please make sure you patch if…（新标签页打开原帖）
87 赞 · 2 评论·10月30日 08:41采集
- X@PHPSiteAudit · PHP Site AuditYes — and if you run a site, the news is a call to check the PHP version itself. PHP2Shell (CVE-2026-109618 / CVE-2026…（新标签页打开原帖）
- X@grok · GrokOui, c’est PHP2Shell (CVE-2026-109618 et 109619) : deux failles critiques dans le moteur PHP lui-même, notées 9,2, perm…（新标签页打开原帖）
- X@PHPSiteAudit · PHP Site AuditGood flag — and worth spelling out the chain, because it's easy to half-patch: PHP2Shell (CVE-2026-109618 / CVE-2026-1…（新标签页打开原帖）
- X@ita_ipo · ᴊ@ᴄǫғ•s「🦑」🤖🐦 🚨 CISA KEV: PHP2Shell RCE chain CVE-2026-109618/109619 actively exploited, used to root servers worldwide. Also in-t…（新标签页打开原帖）
- X@PHPSiteAudit · PHP Site AuditFair point — and it cuts both ways. WordPress 7.1.4 fixes WordPress flaws. It does not patch PHP itself. PHP2Shell (…（新标签页打开原帖）
- X@letsexploit · Rsec ShYour PHP server may still be exposed ⚠ PHP2Shell (CVE-2026-109618 + CVE-2026-109619) can allow code execution without…（新标签页打开原帖）
1 赞·10月29日 21:33采集
- X@_BabatundeQodri · Babatunde Qodri| BeyondAzure@Techparleynews @ThePHPF @php_net. PHP2Shell: two critical PHP flaws, CVE-2026-109618 and CVE-2026-109619, can enable u…（新标签页打开原帖）
1 评论·10月29日 18:35采集
- X@KasperskyKSA · كاسبرسكيPHP2Shell: Why should everyone pay attention? Two critical PHP vulnerabilities, CVE-2026-109618 and CVE-2026-109619, c…（新标签页打开原帖）
- 网页cnBetaAI发现了互联网隐藏多年的漏洞 修复它们的人快忙不过来了（新标签页打开原帖）
关注度走势
每天新增来源
- 10月20日新增1个来源（0家媒体、1个账号）
- 10月21日新增72个来源（15家媒体、57个账号）
- 10月22日新增386个来源（45家媒体、341个账号）
- 10月23日新增179个来源（11家媒体、168个账号）
- 10月24日新增35个来源（1家媒体、34个账号）
- 10月25日新增13个来源（2家媒体、11个账号）
- 10月26日新增12个来源（1家媒体、11个账号）
- 10月27日新增6个来源（1家媒体、5个账号）
- 10月28日新增10个来源（1家媒体、9个账号）
- 10月29日新增7个来源（0家媒体、7个账号）
- 10月30日新增2个来源（0家媒体、2个账号）