AI 辅助发现潜伏多年的 PHP 底层远程代码执行漏洞，PHP2Shell 事件复盘

作者复盘 PHP2Shell 事件：两个 PHP 远程代码执行漏洞（CVE-2026-109618 和 CVE-2026-109619）CVSS 评分为 9.2 分，在补丁发布前泄露，攻击演示视频外流，多国政府网站预防性下线，OpenAI 认领漏洞由 GPT-5.6 Sol 辅助发现。

此前 AI 参与漏洞发现多为厂商演示；这次由 OpenAI 认领 GPT-5.6 Sol 辅助发现 CVSS 9.2 分的 PHP 基础组件漏洞，且补丁前情报泄露、演示视频外流并引发政府网站下线，显示 AI 挖洞已进入可产生现实安全事件阶段。

证据显示 AI 模型参与发现潜伏多年的 PHP 底层漏洞，漏洞可在远程触发代码执行，因而评分达 9.2。但补丁发布前漏洞细节与攻击演示外流，使防御方在修复窗口内暴露于公开攻击方法，进而出现政府网站预防性下线的连锁反应。具体发现机制与泄露路径证据不足。

对使用 PHP 的产品与研发团队，这类 9.2 分远程代码执行漏洞意味着需在补丁发布后快速评估版本并升级；补丁前泄露进一步压缩修复窗口，安全团队需提前准备应急补丁验证与回滚方案，并关注演示视频外流后的攻击尝试。

• 建立 PHP 依赖版本清单，在官方补丁发布后按漏洞编号比对并安排升级验证
• 针对远程代码执行类漏洞预置应急响应流程，包括补丁前临时缓解与回滚方案
• 跟踪 CVE-2026-109618 和 CVE-2026-109619 的补丁与利用情报，评估是否触发预防性下线

• GPT-5.6 Sol 具体以何种方式辅助发现这两个漏洞，证据未说明
• 漏洞在补丁发布前泄露的渠道与责任方尚未确认
• 多国政府网站预防性下线的具体范围与恢复时间未披露
• CVE-2026-109618 与 CVE-2026-109619 影响的 PHP 版本范围未说明