开源编程语言PHP近日曝出两项高危安全漏洞，波及全球网站和Web应用安全。多家媒体援引业内信息称，这组漏洞被统称为“PHP2Shell”，攻击者可借此在服务器上执行恶意代码。

PHP项目已于21日（UTC）发布紧急修复版本，包括PHP 8.5.12、8.4.27、8.3.36和8.2.35，对应漏洞编号为CVE-2026-109618和CVE-2026-109619。

从披露信息看，其中一项漏洞与内存耗尽后处理流程异常中断有关，可能导致不完整数据被当作正常数据继续处理；另一项则涉及请求释放已写入内存后，内部状态未被正确清理，进而影响后续请求。业界普遍认为，Apache模块模式（mod_php）面临的风险最高，因为相关攻击已被证实可在无需身份验证的情况下发起利用。

美国国家安全局（NSA）于当地时间22日敦促使用PHP的机构尽快部署安全更新，并警告称，攻击者可能借此直接访问服务器文件系统和数据库。NSA同时建议，若暂时无法完成更新，应将相关系统临时下线隔离。美国联邦调查局（FBI）以及新加坡、英国、澳大利亚、加拿大和欧盟网络安全机构也发布了类似警报。

Amazon表示，其威胁检测系统MadPot在漏洞公开前就已捕捉到相关攻击尝试。不过，攻击者究竟如何提前掌握漏洞信息，目前仍未有明确结论。

此次事件也让AI在漏洞挖掘中的作用再次受到关注。OpenAI表示，安全公司Calif借助其“GPT-5.6 Sol”发现了其中一项漏洞；Google旗下安全公司Wiz则独立发现了两项漏洞。报道提到，Wiz在研究过程中使用了GPT-5.6 Sol、Google“Gemini 4 Argon”以及其自研AI“Wiz Atlas”。

OpenAI还表示，过去两个月，公司牵头协调了一个由维护者和安全研究人员组成的联盟，推进漏洞修复和提前防御工作。OpenAI预计，未来几个月由AI发现的漏洞数量将明显增加，但也提醒称，AI不仅能够帮助发现重大漏洞，也可能被用于辅助开发攻击工具。

OpenAI认为，此次事件中，AI比攻击者更早发现漏洞，为防御方争取了修复窗口期。该公司同时提出，应建立涵盖漏洞验证、补丁发布支持等环节在内的五阶段应对体系。

在日本，Codomon、BASE、Cygames、pixiv等服务已为防范风险临时停运。日本政界人士Sanae Takaichi也在其X账号发文，呼吁尽快更新。PHP开发团队强调：“不存在完全有效的缓解措施，更新是唯一安全的选择。”