AI发现了一个严重的PHP漏洞。更大的失败始于2024年。
内容提要
PHP高危漏洞CVE-2026-109618与CVE-2026-109619影响约70%的网站，修复版本为8.2.35、8.3.36、8.4.27和8.5.12。Chainguard提前发布修复镜像，引发协调披露争议。该事件还暴露出开源维护资源不足以及AI加速漏洞发现所带来的压力。
延伸解读
漏洞影响范围：70%是PHP的普及率，不是受害面
文章明确指出，PHP支撑约70%的网站，但这一数字描述的是PHP的覆盖范围，而非存在漏洞或已被攻破的站点数量。这意味着实际风险取决于具体部署的PHP版本以及是否及时应用修复。对于使用旧分支的用户，需要升级到受支持版本或依赖发行版的后向移植补丁。读者应避免将“70%”直接等同于“70%的网站已受害”，而应关注自身实例的版本状态和补丁来源。
协调披露争议：提前发布修复镜像的权衡
Chainguard在协调发布日期前六个多小时公开了包含修复的容器镜像，引发与PHP基金会的公开分歧。Chainguard CEO称，基于其他厂商报告的在野利用证据，提前发布符合协调披露准则；PHP基金会则批评此举单方面破坏禁令，可能让攻击者在其他用户等待补丁时研究修复。争议核心在于对“活跃利用证据”的认定不同：一方看到蜜罐探测，另一方认为当时 circulating 的概念验证尚无可用利用。这提醒读者，披露时间线的分歧往往源于证据解读和风险优先级差异。
延迟的结构性原因：2024年已见迹象，资源不足拖慢修复
PHP基金会承认，开发者在2024年审计中已注意到一个CVE背后的内存耗尽问题迹象，但未找到具体的远程代码执行路径，且竞争性修复方案在兼容性与安全性之间存在艰难取舍，工作反复停滞。基金会将延迟称为“结构性失败”，归因于决策流程和资源缺乏。这表明，即使漏洞发现加速，开源维护者若缺乏足够资源，从迹象到完整修复仍可能耗时良久。读者应关注开源项目的维护可持续性，而不仅是单次补丁的发布。
对企业的操作启示：立即打补丁并回溯排查
文章建议，运行受影响PHP系统的组织应立即部署修复构建，并审查系统是否存在尝试利用的迹象，包括回溯至10月17日的活动。Red Hat方面强调，应从可信来源获取经过验证和测试的补丁，即使超出常规补丁窗口。同时，多位业内人士指出，AI辅助发现漏洞正成为新常态，依赖少数维护者难以应对。企业应将PHP等基础组件的补丁响应纳入常规流程，并关注供应链中开源依赖的维护状况。
Q&A
PHP2Shell漏洞的CVE编号是什么？哪些PHP版本修复了这些漏洞？
漏洞编号为CVE-2026-109618和CVE-2026-109619。修复版本包括PHP 8.2.35、8.3.36、8.4.27和8.5.12；使用更旧分支的用户需要升级到受支持版本或使用发行商的后向移植补丁。
Chainguard为什么提前发布修复镜像？这引发了什么争议？
Chainguard CEO Dan Lorenc表示，有证据表明漏洞正在被积极利用，因此决定在协调披露时间（10月21日）前六个多小时发布修复镜像。PHP基金会批评此举单方面破坏禁运，让攻击者有机会研究修复，而其他用户仍在等待补丁。争议焦点在于什么构成“积极利用的证据”。
PHP漏洞的根源在2024年就已被发现迹象，为什么直到2026年才修复？
PHP维护者在2024年的审计中注意到了内存耗尽问题的迹象，但未能找到具体的远程代码执行路径。基金会称竞争性修复方案在兼容性和安全性上存在艰难权衡，工作反复停滞，并将延迟归因于决策流程和资源不足导致的“结构性失败”。
AI在发现PHP漏洞中扮演了什么角色？
安全公司Calif在OpenAI的Patch the Planet计划中利用GPT-5.6 Sol发现了远程代码执行路径，并于8月11日报告给PHP；OpenAI同日独立报告了同一问题。Chainguard也使用前沿AI模型独立发现了该问题。这反映了AI辅助研究加速漏洞发现和利用开发的趋势。
对于使用受影响PHP系统的企业，现在应该采取什么紧急措施？
立即部署修复版本，并审查系统是否有利用尝试的迹象，包括追溯至10月17日的活动。Red Hat建议客户从可信来源（如Red Hat）部署经过验证和测试的补丁，即使不在正常补丁窗口内。
PHP漏洞事件暴露了开源安全维护的哪些深层问题？
事件暴露了开源维护资源不足、协调披露流程在信息泄露时的脆弱性，以及AI加速漏洞发现带来的压力。HackerOne CEO指出，支持数百万网站的开源软件不能仅依赖少数维护者应对日益复杂的威胁，需要更多资源投入开源维护和安全。
