标签
PHP 披露的两个严重漏洞影响了近 20 年间发布的版本，导致维基百科、基于 WordPress 的平台、互联网档案馆以及受 Cloudflare 保护的服务等大型网站下线，并迫使一些老旧的日本手机游戏永久停服。
OpenAI 和谷歌旗下 Wiz 的 AI 工具发现了 PHP 中的两个严重漏洞，影响约 70% 的网站，促使相关方紧急发布补丁，并导致大量网站关闭，其中包括维基百科的部分站点和 200 多家日本机构的网站。
亚马逊威胁情报团队通过 MadPot 蜜罐，在 CVE-2026-109618/109619 公开披露前四天（10月17日）就发现了 PHP2Shell 漏洞利用尝试，且人工智能辅助分析正显著缩短从补丁发布到可用漏洞利用的时间。
一位 Hacker News 发帖者为在不知情的情况下违反两项 PHP 严重远程代码执行漏洞（CVE-2026-109618 和 CVE-2026-109619）的信息禁令、打乱协调披露计划而道歉。
不到24小时内接连爆出四大网络安全事件：PHP隐藏14年的高危远程代码执行漏洞（由OpenAI牵头用AI发现并已发布补丁）、Node.js一口气修复10个漏洞、印度证书机构eMudhra因私钥生成过弱被破解导致HTTPS信任链受威胁，以及云平台Railway遭入侵导致客户API密钥可能全部泄露。
推文感叹这是互联网安全史上最糟糕的一天：PHP 同日爆出两个严重漏洞，攻击者无需登录即可远程执行代码，且细节在补丁发布前就已泄露，影响 WordPress、MediaWiki、Magento、Joomla 和 Laravel 等主流系统。作者将原帖内容按原文风格完整翻译成中文。
作者认为，最新的PHP高危漏洞远不如Log4Shell或Heartbleed那样容易被利用，目前流传的数千个"PoC"漏洞利用大多是由LLM生成的残缺产物，它们修改的是测试环境，而非串联利用真实的漏洞。
FoxIO 研究人员披露了针对 HTTP/3 服务器的 QPACK 放大攻击：一个很小的 HEADERS 帧就能迫使服务器分配 10 倍至 1000 倍的内存，仅凭单个连接即可导致 OOM/DoS。在测试的十种实现中有七种存在漏洞，包括 quic-go、quiche、lsquic、Bun 和 Wireshark，其中部分已修复，部分仍未打补丁。
CZ 提醒用户在浏览网页时保持谨慎，因为影响 WordPress 和 Magento 服务器的两个 PHP 严重漏洞（CVE-2026-109618 和 CVE-2026-109619）在提前泄露后已遭到实际利用，促使相关方发布补丁并部署 Web 应用防火墙（WAF）防护措施。
在 GPT-5.6 Sol 等 AI 模型的帮助下发现的两个 PHP 严重漏洞，导致互联网上大量网站宕机，波及 4chan、维基百科、DeviantArt、政府机构以及宝可梦相关服务。
GitLab 发布关键补丁版本，修复 CVSS 10.0 的未认证远程代码执行漏洞（CVE-2026-110264），该漏洞源于正则表达式编译器中的整数溢出，影响 7.0 至 19.5 的多个版本。
一个潜在的第三个 PHP 严重级别 CVE 漏洞正在浮现，给依赖这一流行脚本语言的 Web 开发者和服务器带来了新的安全担忧。
OpenAI 的 Patch the Planet 计划与 Google 旗下 Wiz 利用 GPT-5.6 Sol 和 Gemini 4 Argon 等 AI 模型，发现了两个自 2004 年起就存在的关键 PHP 漏洞，存在时间长达数十年。美国国家安全局（NSA）随即发布警告，PHP 基金会紧急发布补丁，以保护全球约 70% 使用 PHP 的网站。
新披露的漏洞 CVE-2026-107891 揭示了 musl libc 的 regcomp 中存在多处整数溢出，可能导致分配大小计算错误及堆越界写入，该漏洞通过 Openwall oss-security 邮件列表披露。
两个存在十余年的 PHP 运行时关键漏洞（CVE-2026-109618 和 CVE-2026-109619，统称 php2shell）被证实可在前沿 AI 模型的辅助下被利用，随即引发全球范围的协同防御行动，包括 Cloudflare WAF 在漏洞公开前的预先防护。
两个影响 PHP 5.4 及更高版本的关键 PHP 零日漏洞（CVE-2026-109618 和 CVE-2026-109619）正在被野外利用，促使 PHP 紧急发布安全更新，大量网站因此出现中断；该漏洞的研究与披露由 OpenAI 和 Wiz 参与完成。
OpenAI 的 Greg Brockman 宣布联盟主导缓解了 php2shell——一个利用 GPT-5.6 Sol 发现的、存在长达 14 年的严重 PHP 漏洞，并阐述了在 agentic AI 时代保障互联网安全所需的新方法。
转推高市早苗关于 PHP 出现两处严重安全漏洞的紧急呼吁，提醒广泛使用 PHP 的网站运营者今夜立即应对。
Wiz Research 发现了 PHP 核心中一系列严重的内存安全漏洞，包括未经认证的远程代码执行，影响过去十年发布的几乎所有 PHP 版本（占全球 70% 网站），并借助前沿 AI 模型构建了复杂的利用链，促使 PHP 于 2026 年 10 月 21 日发布补丁。
荷兰国家网络安全中心（NCSC.nl）因 PHP 存在安全漏洞而临时将官网下线，PHP 安全团队预计于荷兰时间 16:00 发布补丁，NCSC 将在补丁发布一小时内发布安全公告，并在 GitHub 上持续更新受影响产品的技术信息。