CVE-2026-109618 是一个出现在 PHP 中的高危安全漏洞，CVSS 评分 9.2，可导致远程代码执行，影响使用 PHP 的绝大多数网站与服务。它由 AI 参与的安全研究流程发现，披露后已出现真实攻击流量，是近年 PHP 生态受关注度最高的安全事件之一。
CVE-2026-109618 的发现与修复进展
当前焦点与观察点
目前的关注点集中在三方面：一是补丁覆盖进度，PHP 官方已发布修复版本，但大量自建服务器和企业内网环境更新滞后，构成主要风险敞口；二是攻击面评估，PHP2Shell 这类无需认证即可远程执行代码的漏洞，通常会在披露后的数天到数周内出现自动化批量利用，安全团队需重点排查 Web 服务器日志中的可疑请求；三是 AI 在漏洞发现中的角色争议，此次由 AI 参与发现关键漏洞引发讨论——支持者认为这提升了挖掘效率，审慎方则担心 AI 辅助挖掘会缩短攻击者获取武器化利用代码的周期。
对普通站点管理员而言，当下最实际的行动是尽快升级到含修复的 PHP 版本，并对无法立即升级的系统启用 WAF 规则或临时缓解措施。后续若出现大规模在野利用或勒索事件，该漏洞的影响评估可能进一步上调，值得持续跟踪官方通告与安全厂商的威胁情报更新。