AI 辅助发现 PHP 高危漏洞，部分网站紧急下线

事件概要

近期公开信息显示，PHP 语言核心被披露了若干高危安全漏洞，部分网站运营方为争取修补时间而临时预防性下线。相关讨论中备受关注的一点是：研究人员在漏洞发现、验证与补丁检查环节使用了 AI 工具。这一事件因此被部分媒体描述为“AI 协助发现漏洞”的典型案例。

漏洞与修复版本

PHP 官方通告列出了两项编号 CVE-2026-109618 与 CVE-2026-109619，并表示修复已包含在以下版本中：

仍在运行受影响版本的站点应尽快升级。使用更旧版本 PHP 的用户，需向操作系统发行版或主机服务商确认是否提供安全回补。PHP 2026 年公告

PHP 项目的 GitHub 安全公告将其中一项问题描述为与过期请求状态及 use-after-free（释放后使用） 有关，并建议升级到包含修复的版本。GitHub 安全公告

网站“停摆”的实际范围

目前可核实的现象是：部分运营方主动、临时地关闭服务以便完成紧急修补，而不是互联网整体停摆。

• Malwarebytes 的报道提到，Weird Gloop 运营的 Wiki 服务器曾下线约 13 小时，属于预防性维护的案例。Malwarebytes 报道
• 该报道并未支持“网站普遍遭到入侵”或“全球互联网大规模瘫痪”这类说法。已确认的下线案例应视为个别运营方的处置决定。

AI 在事件中的角色

根据安全厂商 Wiz 的技术说明，研究人员在漏洞发现、利用可行性验证以及补丁检查过程中使用了 AI 工具。较为准确的表述是：这是“AI 辅助安全研究”的报道，不能据此推断 AI 发动了攻击，也不能把网站下线直接归因于 AI。Wiz 技术说明

另有一些中文财经媒体报道使用了更强烈的描述，例如：

• 漏洞被冠以 “PHP2Shell” 代号，CVSS 严重度评分高达 9.2；
• 攻击者无需认证即可远程执行代码（RCE）；
• 全球约 70%–75% 的动态网站依赖 PHP，因此波及面被比作“心脏出血（Heartbleed）”级别事件；
• 攻防“时间差”被 AI 压缩，补丁发布后利用代码可能迅速出现。

以上几点来自媒体报道的转述，本文未逐一独立核实其评分数值与占比口径，读者宜将其视为报道方的主张，而非官方确认的统计结果。

尚不确定的部分

• 受影响站点的具体数量与名单没有公开的完整统计；
• CVSS 9.2 分、70%–75% 依赖度等数字的统计来源和方法未在引用材料中给出细节；
• 各运营方下线的时长、范围和恢复情况，除个别案例外缺乏系统记录；
• 关于 AI 在攻击侧的实际参与程度，目前只有研究侧的报道，缺乏独立的攻击归因证据。

对站点运营者的建议

1. 核对版本：确认生产环境所用的 PHP 分支与版本号。
2. 优先升级：升级到包含修复的版本；无法自行升级的，联系主机服务商或发行版支持渠道。
3. 关注官方渠道：以 PHP 官方公告和安全公告为准，媒体转述的严重度评分与影响范围仅作参考。
4. 谨慎对待“停摆”表述：目前可核实的是部分站点的临时性下线，不等于普遍入侵或全网中断。

一句话结论： PHP 核心存在已被官方通告确认的高危漏洞并给出了修复版本，部分站点为紧急修补而临时下线；报道称 AI 工具参与了漏洞发现与验证，但“网站大面积停摆”“AI 发动攻击”等说法超出了现有可核实证据。