Latent Space 旗下的 AINews 近日对 PHP 核心漏洞 PHP2Shell 的披露过程进行了系统梳理，还原出一条涉及两组研究力量的时间线。该漏洞编号为 CVE-2026-109618 和 CVE-2026-109619，问题根源位于 PHP 引擎的内存溢出与致命错误处理机制之中。

从披露脉络看，OpenAI 的 Patch the Planet 项目与安全厂商 Wiz 分别独立发现了 PHP 核心中的相关缺陷，两条发现路径最终汇聚到同一组 CVE 编号上。这一情况意味着漏洞的暴露面并非单一研究方向所能覆盖，PHP 引擎底层处理逻辑的薄弱环节由此受到更多关注。

在影响验证层面，研究者演示了针对 WordPress、Drupal 和 Joomla 三大内容管理系统的预认证远程代码执行（RCE），以及远程内存泄露。预认证意味着攻击路径不依赖有效账号凭据，受影响的系统在 Web 生态中部署量庞大，漏洞的实际风险边界因此被进一步放大。

对 AI 与基础设施从业者而言，此次事件的价值不仅在于漏洞本身，更在于它展示了自动化漏洞发现工具在成熟开源项目核心代码中的实际产出。PHP 作为长期支撑大量 Web 服务的基础运行时，其引擎层缺陷的发现与修复节奏，将直接影响下游 CMS 与托管平台的响应策略。