卡兹克复盘AI辅助发现的PHP2Shell漏洞：发现两天修复两月

作者复盘 PHP 两个远程代码执行漏洞（CVE-2026-109618、CVE-2026-109619，合称 PHP2Shell），其 CVSS 评分起步即为满分；过程包括提前泄密、演示视频流出、多国政府网站预防性下线，补丁于21日晚10点上线；作者还称这两个漏洞由 GPT-5.6 Sol 辅助发现，OpenAI 发布了检测 skill。

此前AI辅助漏洞挖掘多停留在实验或演示层面，这次被描述为直接产出CVSS满分起步的远程代码执行漏洞；同一事件还出现漏洞提前泄密、演示视频流出与政府网站预防性下线，使AI参与安全攻防的节奏问题进入公开视野。

按作者所述，AI模型在代码审计环节压缩了漏洞定位时间，但修复周期由泄密扩散、验证影响面、协调多国网站处置和发布补丁等环节共同决定，因此发现端提速并不能同步缩短修复端，两端速度差距被此次事件放大。

对研发与安全团队，漏洞响应窗口可能更集中在泄密与演示流出之后，需提前准备应急下线和补丁发布流程；若AI检测skill可复用，代码审计环节可能更早介入，但证据未给出企业级使用效果。

• 面向使用PHP的产品团队，建立对CVE-2026-109618、CVE-2026-109619的专项排查清单并验证补丁上线状态
• 参考OpenAI发布的检测skill，在代码审计流程中试点AI辅助漏洞扫描并记录误报与耗时
• 为临近上线的Web服务补充泄密与演示视频流出场景下的应急下线预案

• GPT-5.6 Sol在漏洞发现中的具体参与方式和贡献比例未披露
• OpenAI发布的检测skill具体功能、适用范围与获取方式未说明
• 多国政府网站预防性下线的具体国家与影响范围未有证据支持
• 两个漏洞的最终修复效果与是否已被实际利用尚无证据确认