两个藏了十几年的漏洞被AI找到了

@霜叶：两个藏了十几年的漏洞被AI找到了。
PHP跑着全球大约七成网站的后台语言。
10月21日它发了紧急更新，修两个远程代码执行漏洞，编号CVE-2026-109618和109619，评分都是9.2，行话叫PHP2Shell。
用好了，攻击者不用密码就能在服务器上执行代码。
可以说是核弹级漏洞。

这俩漏洞是AI找到的。
安全公司Calif去年7月30日起审计PHP，用的模型是GPT-5.6 Sol。
谷歌旗下的Wiz用自家工具加Gemini 4 Argon，也独立找到了。
8月19日，是Wiz先确认，两天内在Drupal和WordPress上都验证了攻击。
Wiz表示，这两个洞从2012年的PHP 5.4起就在那儿，十多年没人看见。
单看一个内存错误不算大事，难的是把一串这样的错误连成能用的攻击链。
过去这是一个专家团队要磨几个月的活，可能也因此一直没被揭开。
但现在用AI，几天就给跑通了。
Wiz把它跟2014年的Heartbleed相提并论。

OpenAI牵头协调了两个月，拉上PHP维护者、Wiz、Cloudflare一起。
原计划是五阶段流程：
修复——通知关键设施——给防御者时间——公开——行动。
他们管这叫【防御者之窗】。
AI比攻击者先找到，防御方就先跑一段。

但是功亏一篑，窗口没能守满期限。
10月20日，CVE编号提前漏上了Hacker News。
当天晚些，Calif又误发了一段概念验证视频。

PHP被迫把发布从22日提前到21日。基金会复盘说这是【结构性失败】。
Cloudflare在补丁发布前就观测到了攻击尝试，发布后数小时内攻击流量以百万计。

结果最有效的方法果然是最古典的。
各国的应对方式是——拔网线。
芬兰关了政府网络服务，荷兰司法系统和鹿特丹港下线，法国内政部全站预防性维护。
日本赛马娘、碧蓝幻想等一批游戏停服，维基媒体也关了一批服务。

修复版本：8.5.12、8.4.27、8.3.36、8.2.35。
还停在PHP 5和7的没有补丁，这两代早已停止维护。

最后OpenAI自己承认，同样的能力，攻击者拿去也能更快造武器。
他们说要给安全模型加拦截分类器，再拿10亿美元补贴防御方使用。
刀两面都是刃。
就看用哪一面了。