PHP 生态近日经历了一次罕见的双重高危漏洞事件。两个远程代码执行漏洞被合称为 PHP2Shell，分别是 CVE-2026-109618 与 CVE-2026-109619，其 CVSS 评分均从满分起步。安全研究者卡兹克对事件全程进行了复盘，还原了从漏洞信息提前泄露到修复落地的完整时间线。

据复盘披露，漏洞在补丁发布前就已出现信息外泄，随后带有演示效果的视频在网络上流出，进一步放大了暴露风险。事态升级后，多个国家的政府网站采取了预防性下线措施，以规避潜在攻击面。这一系列反应发生在官方修复方案就位之前，凸显了漏洞披露节奏与应急响应之间的紧张关系。

修复工作最终在北京时间 21 日晚 10 点完成，补丁正式上线。值得注意的是，卡兹克指出这两个漏洞是在 GPT-5.6 Sol 的辅助下被发现的，从发现到完成修复历时约两个月。OpenAI 方面还同步发布了用于检测相关风险的 skill，为防御方提供了额外的排查手段。

从发现效率看，AI 辅助在两天内即完成漏洞定位，而修复周期却长达两个月，这一时间差构成了本次事件的核心观察点。对 PHP 运维方而言，及时核对补丁状态并排查暴露面仍是当前的首要动作；对安全行业来说，AI 参与漏洞挖掘后如何与披露、修复流程衔接，PHP2Shell 提供了一个可供参照的样本。