潜伏 20 年没人能利用的 PHP 漏洞，AI 一周做成了武器

10 月 21 日，PHP 发布四个分支（8.5.12、8.4.27、8.3.36、8.2.35）的紧急安全更新，修复两个潜伏十余年的 use-after-free 漏洞 CVE-2026-109618 / CVE-2026-109619，CVSS v4.0 最高 9.2 分，被称为 PHP2Shell。漏洞在 PHP 本体而非应用层，WordPress、Drupal、Joomla 最新镜像实测全部可被打穿，支持未认证远程代码执行和内存泄露。Wiz 研究员配合 Wiz Atlas、Gemini 4 Argon 和 GPT-5.6 Sol，8 月 19 日发现漏洞后三天内在 Drupal 和 WordPress 上验证了 RCE，过去这类利用链需要一个团队数月。PHP 驱动全球约 70% 网站，仍在使用 PHP 8.1 及更老版本的站点没有对应补丁，NSA 建议打不上补丁的直接下线。