两个CVSS 9.2漏洞，让任何无账号的攻击者都能接管Web服务器——这不是渗透测试里的假设场景，而是AI安全公司Calif用GPT-5.6 Sol在PHP代码中翻出的真实结果。评分逼近满分，攻击门槛却接近于零，这种组合在PHP这种量级的基础设施上出现，足以让所有运维半夜爬起来看日志。
更麻烦的是影响范围：漏洞可以一路追溯到PHP 5.4。这意味着大量早已"稳定运行、不要动它"的老系统全都躺在射程之内。PHP团队的反应也说明了紧迫程度——修复版本比原计划提前一天发布，压缩掉的那24小时，通常意味着有人在后台拼命赶工。开源基础设施的脆弱性又一次被摆上台面：全世界跑着同一套代码，而审计它的人手永远不够。
这次真正值得琢磨的不是漏洞本身，是挖洞的方式。过去找这类问题靠人肉审计、靠fuzz、靠运气，现在一个大模型读代码就能定位到关键缺陷。进攻方的效率在涨，防守方也只能跟着提速。AI当安全审计员不再是演示Demo，它已经开始改写漏洞披露的时间表。只是这次PHP还留了一天缓冲，下一次，未必还有。
