文章核心观点 - PHP被曝出两个超高危漏洞，危险评分均达9.2分最高优先级，最严重情况下攻击者无需登录即可在服务器上执行代码，从PHP 5.4开始的几乎所有版本均受影响 [1] - 官方明确表示没有完整缓解措施，唯一安全做法是立即升级，但官方早已不支持PHP 8.1及更早版本，旧版本无法获得补丁 [2][3] - 全球七成网站使用PHP，荷兰、芬兰等地部分政府网站已提前下线防范攻击，日本相关方面也在连夜加班应对 [5][6] - 这两个被统称为PHP2Shell的漏洞由GPT-5.6 Sol率先发现，安全公司Calif使用该模型发现关键漏洞，Wiz也独立发现并报告，OpenAI在后续补丁更新中起到牵头作用 [6][7][8] - OpenAI公告指出此次PHP漏洞只是已发现并正在修复的众多重大漏洞中的一部分，预计未来几个月内类似漏洞数量将急剧增加 [9][10] 漏洞详情与修复版本 - 两个漏洞编号分别为CVE-2026-109618和CVE-2026-109619 [12] - 官方已发布修复版本包括PHP 8.5.12、PHP 8.4.27、PHP 8.3.36和PHP 8.2.35 [13] - CVE-2026-109618通过内存溢出导致内部数据结构不完整，请求清理时把无效数据当有效数据处理，可导致内存破坏和RCE远程代码执行 [14] - CVE-2026-109619为请求相关的全局状态在内存释放后仍然残留，后续同一worker处理的请求会使用已释放的内存（use-after-free），同样可导致RCE [14] - 所有处理网页请求的PHP部署环境均面临风险，包括PHP-FPM、搭载mod_php模块的Apache、php-cgi、FrankenPHP以及LiteSpeed，其中mod_php风险最高 [15] - 研究人员已在部分WordPress、Drupal、Joomla部署上复现了未经登录的远程代码执行 [15] AI在漏洞发现与修复中的角色 - OpenAI于2026年6月推出开源安全倡议Patch the Planet，核心目标是用AI帮助发现开源项目漏洞，同时解决模型能大量发现漏洞但开源维护者人手严重不足、易被海量报告淹没的问题，AI不仅要找bug还要debug [17] - 安全公司Calif作为OpenAI倡议合作伙伴之一，在Patch the Planet框架下发现了此次PHP超级漏洞中的一个关键问题 [17] - 另一家知名安全公司Wiz Research也独立发现并报告了相关漏洞，研究过程中使用了Wiz Atlas、Gemini 4 Argon和GPT-5.6 Sol，其中Gemini 4 Argon在漏洞发现、漏洞利用开发、攻击检测和补丁验证方面发挥了不可或缺的作用 [17] - 过去两个月中OpenAI牵头协调，与PHP维护者、Wiz、Cloudflare等一起准备补丁和缓解措施，随后公开并发布修复版本，修复时间较长主要因涉及PHP引擎底层、改动较大 [18] - OpenAI表示此次前沿AI是在攻击者之前为维护者和安全厂商打开了防御者之窗 [19] - Wiz指出AI降低了复杂漏洞的利用门槛，也能帮助防守方发现和修复漏洞，一场AI时代新形态的AI竞赛已经拉开序幕 [21][22]