AI 在 PHP 内核发现可远程执行漏洞：CVSS 9.2，约七成互联网受影响

Wiz Research 在 10 月 21 日的博客披露了一组名为 PHP2Shell 的漏洞：使用 AI 在 PHP 核心中发现两个 Critical 级远程代码执行缺陷，编号 CVE-2026-109618 与 CVE-2026-109619，CVSS 评分 9.2。页面称受影响范围为 PHP 5.4 及以上版本，覆盖约 70% 的互联网。博客点名使用的工具包括 Wiz Atlas、Gemini 4 Argon 与 GPT-5.6 Sol。PHP 项目在 10 月 21 日发布了 8.5.12、8.4.27、8.3.36 与 8.2.35 四个修复版本。

这条消息的关键不在漏洞本身，而在发现方式。PHP 是被审计了近三十年的代码库，常规静态扫描与人工审查都覆盖过大量路径，而 AI 智能体在内核层找到了可利用的 RCE 链。这说明把大模型接入代码审计之后的搜索空间，与人类经验导向的审计路径并不重合。

它也给了「用 AI 提升安全性」一个可验证的落点。同月英国 AI 安全研究所在 10 月 26 日发布的两项评测关注的是开源生物模型的安全边界，方向相反：AI 既能找漏洞，也能被用来重建工具链。防御侧的 AI 采用速度，正在决定谁来定义安全基线。