PHP2Shell 这场事故里，最扎眼的不是漏洞有多狠，而是它泄露的方式。两个 PHP 远程代码执行漏洞——CVE-2026-109618 和 CVE-2026-109619——初判 CVSS 顶到 10.0，后来定为 9.2，可这数字怎么改都够让运维半夜从床上弹起来。补丁还没发，攻击演示视频先在圈内疯传，多国政府网站索性预防性下线。防的不是已经打过来的那一刀，是还没到的那一刀。
更值得琢磨的是漏洞的来路。OpenAI 公开认领，说这两个洞是 GPT-5.6 Sol 在辅助审计时发现的。AI 找洞，AI 生成演示，把武器化时间从几周压到几十小时——过去安全团队还能喘口气的补丁窗口，现在基本被焊死了。原作者复盘时反复提一件事：真正致命的不是 RCE 本身，是整条披露链条在最后一百米断了电。视频外流、沟通时序错位、厂商与研究员各说各话，任何一环出岔子，前面全白干。
10.0 改成 9.2 的降级争论，其实是个缩影。评分可以吵，流程没法吵——补丁未发先泄，搁哪个标准里都是硬伤。AI 参与漏洞发现早就不是新闻，新闻是攻防双方的速度差正在拉大，而我们修补丁的姿势还停在人工排期的年代。PHP2Shell 不会是最后一次，但愿它是最后一次让人手忙脚乱的那次。
