PHP2Shell 的余波还在扩大。10 月 22 日多家安全媒体跟进：被 OpenAI 称为“近年影响最大事件之一”的 PHP 核心漏洞（CVE-2026-109618、CVE-2026-109619），官方 10 月 21 日发布补丁前，黑客已抢到四天利用窗口。漏洞藏在 PHP 解释器的内存处理逻辑里，未经登录就能远程执行代码，CVSS 4.0 评分 9.2，几乎所有在用版本都在影响范围内。
时间线：从 AI 挖洞到全球应急
发现过程带着 AI 的烙印：8 月 11 日，Calif 在 OpenAI 的 Patch the Planet 计划中用 GPT-5.6 Sol 发现首个缺陷；8 月 24 日，Wiz 独立发现并上报两个漏洞；9 月 18 日，OpenAI 自己的安全团队也独立上报。原定 10 月 22 日披露的四版本补丁（8.5.12、8.4.27、8.3.36、8.2.35），因细节 10 月 20 日提前泄露，被迫提前到 21 日发布。亚马逊威胁情报 10 月 17 日就在蜜罐里抓到利用尝试——攻击者比补丁早了四天。披露后 24 小时，Imperva 记录 48 万次攻击请求，波及 103 国 2.2 万个站点；NSA、NCSC、白宫随后要求立即评估风险。
影响：不只是 WordPress 的事
关键在于：这是 PHP 语言运行时本身的漏洞，不是插件或应用的 bug。PHP 5.4 到 8.5.11 的所有版本至少被其中一个波及；PHP 官方把 Apache mod_php 列为最高风险环境，因为已演示的攻击在应用代码运行之前、一次未授权请求就得手。漏洞还能“心脏滴血”式读取服务器内存，密码、令牌、API 密钥都可能外泄。
现在该做什么
PHP 官方态度明确：升级是唯一安全的选择，不升级 PHP 运行时挡不住这个漏洞。无法马上升级的，可先缓解：memory_limit 设为 -1、调低 post_max_size、关闭 session.upload_progress.enabled、PHP 8.5 上关闭 fatal_error_backtraces，然后重启所有 worker。但不能替代升级。
AI 挖洞第一次把藏了十几年的底层漏洞变成可复现的利用链。这一次攻防时间差是四天——PHP 运行时该升就升，别等。
