PHP 修复两个 AI 参与发现的严重 RCE 漏洞，覆盖整个 8.x 版本线
PHP 于 10 月 21 日发布 8.5.12、8.4.27、8.3.36、8.2.35，修复 CVE-2026-109618 和 CVE-2026-109619 两个远程代码执行漏洞，CVSS v4.0 评分 9.2。漏洞由 Wiz Research 发现，研究过程中使用了 Wiz Atlas、Gemini 4 Argon 和 GPT-5.6 Sol。原定 10 月 22 日的发布因漏洞信息提前泄露而提前一天。
要点
- 两个 CVE 共包含四个内存安全问题，都与 PHP 处理致命错误（尤其是内存耗尽）的方式有关；Wiz 称过去十年发布的 PHP 版本均受影响
- Wiz 演示了对 WordPress、Drupal 的未认证远程代码执行（Joomla 受 CVE-2026-109618 影响），漏洞在 PHP 本身，与应用代码无关
- Wiz 称 AI 参与了漏洞发现、利用开发、攻击检测和补丁验证，并帮助把利用适配到不同版本与内存布局
- PHP 基金会披露：CVE 编号 10 月 20 日提前流传，Calif 误发 PoC 演示视频，Chainguard 在协调发布前 6 个多小时就发布了含修复的镜像
- 基金会称 AI 辅助研究让漏洞报告量明显增加，7 月 1 日以来已发布 15 个 CVE，超过 100 份报告无效、重复或无法复现；AI 用于验证和归并报告，但每个决定和补丁都由人负责
为什么值得关注
这是 AI 辅助漏洞挖掘直接影响大量线上系统的典型案例，也说明开源项目正面临 AI 带来的报告量激增；运行 PHP 的团队应尽快升级到上述版本。PHP 8.2 将于 2026 年 12 月 31 日停止支持。
来源
原文
Security advisory: Critical remote code execution vulnerabilities, update now
PHP · php.net · 2026-10-21
原文
Today's PHP Security Release, and How We're Strengthening PHP Security
The PHP Foundation · thephp.foundation · 2026-10-21
原文
PHP2Shell: AI uncovers critical RCE vulnerabilities affecting 70% of the Internet
Wiz · wiz.io · 2026-10-21
报道
Today's PHP Security Release, and How We're Strengthening PHP Security
Simon Willison · simonwillison.net · 2026-10-21
### [PHP 修复两个 AI 参与发现的严重 RCE 漏洞，覆盖整个 8.x 版本线]({{URL}})
PHP 于 10 月 21 日发布 8.5.12、8.4.27、8.3.36、8.2.35，修复 CVE-2026-109618 和 CVE-2026-109619 两个远程代码执行漏洞，CVSS v4.0 评分 9.2。漏洞由 Wiz Research 发现，研究过程中使用了 Wiz Atlas、Gemini 4 Argon 和 GPT-5.6 Sol。原定 10 月 22 日的发布因漏洞信息提前泄露而提前一天。
- 两个 CVE 共包含四个内存安全问题，都与 PHP 处理致命错误（尤其是内存耗尽）的方式有关；Wiz 称过去十年发布的 PHP 版本均受影响
- Wiz 演示了对 WordPress、Drupal 的未认证远程代码执行（Joomla 受 CVE-2026-109618 影响），漏洞在 PHP 本身，与应用代码无关
- Wiz 称 AI 参与了漏洞发现、利用开发、攻击检测和补丁验证，并帮助把利用适配到不同版本与内存布局
- PHP 基金会披露：CVE 编号 10 月 20 日提前流传，Calif 误发 PoC 演示视频，Chainguard 在协调发布前 6 个多小时就发布了含修复的镜像
- 基金会称 AI 辅助研究让漏洞报告量明显增加，7 月 1 日以来已发布 15 个 CVE，超过 100 份报告无效、重复或无法复现；AI 用于验证和归并报告，但每个决定和补丁都由人负责
**为什么值得关注**：这是 AI 辅助漏洞挖掘直接影响大量线上系统的典型案例，也说明开源项目正面临 AI 带来的报告量激增；运行 PHP 的团队应尽快升级到上述版本。PHP 8.2 将于 2026 年 12 月 31 日停止支持。
来源：[Security advisory: Critical remote code execution vulnerabilities, update now](https://www.php.net/archive/2026)；[Today's PHP Security Release, and How We're Strengthening PHP Security](https://thephp.foundation/blog/2026/10/21/todays-php-security-release-and-how-were-strengthening-php-security/)；[PHP2Shell: AI uncovers critical RCE vulnerabilities affecting 70% of the Internet](https://www.wiz.io/blog/php2shell-php-rce)；[Today's PHP Security Release, and How We're Strengthening PHP Security](https://simonwillison.net/2026/Oct/21/php-security-release/)