AI 挖漏洞，挖到了一半互联网的命门。
昨天（10-21），两个 CVSS 9.2 分的 PHP 致命漏洞公开披露，补丁紧急发布：CVE-2026-109618 和 CVE-2026-109619，名字叫 PHP2Shell。
这两个漏洞在 PHP 里潜伏了 10 年以上，影响从 PHP 5（2004 年）至今的所有版本。
最有意思的是谁挖出来的：
Wiz 用 Gemini 4 Argon 和 GPT-5.6 Sol 挖的，安全公司 Calif 用 GPT-5.6 Sol 挖的（经 OpenAI 的 Patch-the-Planet 项目）。
也就是说：AI 既挖漏洞，也参与补漏洞。
几个数字口径先说清楚，免得被标题党带跑：
"PHP 支撑 70% 网站"是 Wiz 的一家之言，BBC 明确表示核实不了；BuiltWith 的口径是约 2400 万个网站
补丁只覆盖 PHP 8.2 以上的版本，老版本自己看着办
时间线：这两个 bug 其实是今年 8 月发现的，8 月 24 日就上报了 PHP 官方，昨天才是公开披露+补丁落地——发现和公开是两回事
多国政府网站昨天预防性下线。OpenAI 官方口径称这是"近期记忆中最具影响力的安全问题之一"，还预判"PHP2Shell 级别的发现未来几个月会急剧增加"。
我的判断：
AI 挖漏洞这件事，从"研究员的玩具"变成了"基础设施级的生产力"——而且是攻守两端同时加速。
以后"AI 挖出十年老漏洞"这种新闻，只会越来越多，不会越来越少。
昨天（10-21），两个 CVSS 9.2 分的 PHP 致命漏洞公开披露，补丁紧急发布：CVE-2026-109618 和 CVE-2026-109619，名字叫 PHP2Shell。
这两个漏洞在 PHP 里潜伏了 10 年以上，影响从 PHP 5（2004 年）至今的所有版本。
最有意思的是谁挖出来的：
Wiz 用 Gemini 4 Argon 和 GPT-5.6 Sol 挖的，安全公司 Calif 用 GPT-5.6 Sol 挖的（经 OpenAI 的 Patch-the-Planet 项目）。
也就是说：AI 既挖漏洞，也参与补漏洞。
几个数字口径先说清楚，免得被标题党带跑：
"PHP 支撑 70% 网站"是 Wiz 的一家之言，BBC 明确表示核实不了；BuiltWith 的口径是约 2400 万个网站
补丁只覆盖 PHP 8.2 以上的版本，老版本自己看着办
时间线：这两个 bug 其实是今年 8 月发现的，8 月 24 日就上报了 PHP 官方，昨天才是公开披露+补丁落地——发现和公开是两回事
多国政府网站昨天预防性下线。OpenAI 官方口径称这是"近期记忆中最具影响力的安全问题之一"，还预判"PHP2Shell 级别的发现未来几个月会急剧增加"。
我的判断：
AI 挖漏洞这件事，从"研究员的玩具"变成了"基础设施级的生产力"——而且是攻守两端同时加速。
以后"AI 挖出十年老漏洞"这种新闻，只会越来越多，不会越来越少。