10 月 21 日晚，PHP 基金会提前发布紧急安全补丁，回应两天前意外泄露的代号 PHP2Shell 的两个高危远程代码执行漏洞（编号 CVE-2026-109618 和 CVE-2026-109619），严重程度评分高达 9.2 分（满分 10 分）。由于全球约 69.4% 的网站后端使用 PHP，此次漏洞波及范围极广，日本使用比例高达 92%，成为受影响最严重的地区之一。
这类漏洞允许攻击者在服务器上执行任意代码，可能窃取用户资料、篡改网站内容、篡改收款账户，甚至植入勒索软件。为避免被攻击，大量网站和服务选择临时下线等待升级，包括 niconico、pixiv 以及多款游戏服务。思科、WatchTowr 和 360 等安全团队已复现攻击流程，Cloudflare 也观察到小规模攻击行为。更严峻的是，近半网站仍在使用已停止支持的旧版 PHP，无法获得补丁，处于「裸奔」状态。
值得注意的是，此次漏洞的发掘过程中 AI 扮演了关键角色。该漏洞早在 2024 年的一次外部安全审计中已被发现，但因缺乏稳定可复现的攻击方式而迟迟未修复。今年 6 月，OpenAI 发起「Patch the Planet」安全项目，联合多家安全公司利用 AI 挖掘开源项目漏洞。不到两个月，安全公司 Calif 的研究人员就借助 AI 找到了远程攻击的实现方式，随后 Wiz Research 团队也利用多个 AI 模型独立发现了相同漏洞。AI 正在成为发现「沉睡漏洞」的重要力量，同时也对全球软件维护节奏提出了更高要求。