AI 发现 PHP 核心 RCE 漏洞，波及全球七成网站

PHP 官方紧急发布补丁修复两个高危远程代码执行漏洞（CVE-2026-109618/19），攻击者无需登录即可接管服务器。OpenAI 与 Google 确认其前沿模型（GPT-5.6 Sol、Gemini 4 Argon）在安全公司 Calif 和 Wiz 的协作下提前发现了该漏洞，实现了“防御者窗口期”。鉴于约 70% 的网站依赖 PHP，所有运行 PHP 5.4+ 版本的站点必须立即升级至最新维护版本。

综合多信源的技术方案、架构特性或评测数据，指出一致与互补细节。Wiz Research 利用 AI 在 PHP 核心引擎中发现多个严重内存安全漏洞，包括无需身份验证的远程代码执行（RCE）。这些漏洞影响过去十年发布的所有 PHP 版本（自 5.4 起），直接威胁全球约 70% 的网站基础设施。PHP 官方已于 2026 年 10 月 21 日发布补丁修复相关缺陷。

阐述对所属赛道、开发者或产业格局带来的实质影响。PHP2Shell 是 PHP 核心的内存安全漏洞家族，包含 OOM 处理导致的损坏和跨请求残留的全局状态问题。漏洞由 Wiz Research 和 OpenAI Codex Security 通过 AI 辅助发现，CVSS 评分达 9.2（严重）。由于 PHP 驱动约 70% 的网站（包括 WordPress、MediaWiki），该漏洞具有极大的潜在影响面。