📖 AI 总结

2026年10月，PHP官方公开两个编号为CVE-2026-109618和CVE-2026-109619的高危漏洞，CVSS评分均为9.2，无需账号密码即可远程利用，攻击可在应用代码运行前触发，攻击者能借此获取服务器控制权。由于PHP支撑着全球约69.3%的可识别服务端网站，欧洲多国政府网站、荷兰电子身份系统DigiD、日本pixiv和Niconico等平台紧急下线或维护。漏洞细节在协调披露前遭泄露，补丁镜像又被提前发布，进一步放大了风险。修复仅覆盖PHP 8.2至8.5，仍有约27%的网站运行在已停止维护的PHP 7.x及更低版本上，无法获得官方补丁。事件还引发关于AI能否发现漏洞的讨论，但第一发现者明确表示，其发现依赖对目标历史的深入理解，而非简单提示词。