事件经过
10月21日，PHP基金会披露了PHP中的CVE-2026-109618和CVE-2026-109619（CVSS 9.2，“php2shell”），可在约70%的网站上实现未认证RCE/内存泄露（据PANW统计，受影响实例达2260万）。这些漏洞自8月1日起通过AI辅助研究被独立发现——Calif.io使用OpenAI GPT-5.6 Sol，以及OpenAI和Wiz——并通过OpenAI的Patch the Planet计划进行协同披露；Cloudflare利用新的全事务检测能力，在公开披露前约9小时预部署了WAF缓解措施。
影响分析
这是首次在前沿AI辅助下，通过协同披露计划发现互联网规模的关键漏洞：它证明了代理型漏洞发现作为防御方能力，同时也凸显了机器速度的漏洞利用竞赛——与本周AWS Continuum的33/37个CVE发现结果相呼应。
适用范围
所有Web/WordPress运维方应立即修补PHP（8.5.12/8.4.27/8.3.36/8.2.35）并保持WAF规则启用；安全团队应将AI辅助漏洞发现计划视为CVE分类的主流输入源。