一个躺了2年没人理的 Bug，被 AI 用几天时间，挖成了能接管服务器的"钥匙"。
2026年10月下旬，PHP 官方披露两个远程代码执行漏洞（CVE-2026-109618/109619），CVSS 评分双双 9.2，出问题的是 PHP 引擎本身——攻击者不需要账号、不需要登录，构造一段恶意请求发过去，就能让服务器跑攻击者的代码。知乎知乎
按 W3Techs 今年11月的统计，全球能识别出服务端语言的网站里，69% 跑在 PHP 上，NASA、白宫、维基百科级别的基础设施都在波及名单里。知乎36氪
随后的场面在安全史上都罕见：美国国家安全局直言，网站修不了就应该先下线。维基媒体基金会预防性关停了云服务，荷兰 DigiD 等政务系统真的先下线再说。36氪知乎
日本中央和地方政府的多个网站暂停服务，首相高市早苗在X上向全国催打补丁。第一财经36氪
这颗 Bug 早在2024年就被发现，当时只被认为会让程序崩溃；没想到今年在AI工具的帮助下，研究人员几天就从里面挖出了完整攻击链。为什么换人不行？哥伦比亚大学教授 Suman Jana 说得直白：利用它需要大量非常琐碎的推理，而这恰是 AI 不怕的苦活。但也别神化——出手的都是懂 PHP 懂安全的资深研究员，AI 更多是辅助。11月公开的伯克利基准还泼了盆冷水：最强 AI 智能体能复现 88% 的漏洞，真正完成端到端利用的只有 20%。36氪IEEE Spectrum知乎
更扎心的是不对称：发现只用几天，修复却花了 PHP 基金会4名工程师整整两个月。这条报道的副标题写得更狠：AI 正在逼行业偿还40年的技术债。36氪IEEE Spectrum
跟普通人有什么关系？三件事。手机、电脑弹出安全更新，现在就装，别想着下周再装——约翰斯·霍普金斯大学教授 Matthew Green 的原话如此。在运营 WordPress 网站或电商独立站的，把 PHP 升级到 8.5.12 / 8.4.27 / 8.3.36 / 8.2.35 及之后版本。最后记住：对防守方补丁是修复，对攻击者补丁是地图。36氪知乎知乎
Green 的判断更不客气：不出一次真正的大事，多数机构不会认真投入，2027年初前后，可能出现一次直接波及普通人的重大安全事件。36氪
这次轮到的是 PHP，下次呢？
