卡兹克详解 AI 挖出的 PHP2Shell 漏洞：发现只花2天，修复用了两个月

作者复盘 PHP 两个 CVSS 满分起步的远程代码执行漏洞（CVE-2026-109618、CVE-2026-109619，合称 PHP2Shell）从提前泄密、演示视频流出、多国政府网站预防性下线，到21日晚10点补丁上线的全过程，并指出这两个漏洞是 GPT-5.6 Sol 辅助发现的，OpenAI 还发布了检测 skill。

卡兹克复盘 PHP2Shell 两个高危远程代码执行漏洞的完整处置链路：提前泄密、演示视频流出、多国政府网站预防性下线，到21日晚10点补丁上线；并指出漏洞由 GPT-5.6 Sol 辅助发现，OpenAI 还发布了检测 skill。

• 卡兹克复盘 PHP2Shell 两个高危远程代码执行漏洞的完整处置链路：提前泄密、演示视频流出、多国政府网站预防性下线，到21日晚10点补丁上线；并指出漏洞由 GPT-5.6 Sol 辅助发现，OpenAI 还发布了检测 skill。
• 原贴提到：作者复盘 PHP 两个 CVSS 满分起步的远程代码执行漏洞（CVE-2026-109618、CVE-2026-109619，合称 PHP2Sh
• 来源：mp.weixin.qq.com

这是一个关于 AI 参与安全漏洞发现与处置的公开信号。卡兹克复盘了 PHP2Shell 两个 CVSS 满分起步的远程代码执行漏洞（CVE-2026-109618、CVE-2026-109619）从提前泄密、演示视频流出、多国政府网站预防性下线，到21日晚10点补丁上线的全过程，并指出漏洞由 GPT-5.6 Sol 辅助发现，OpenAI 还发布了检测 skill。标题里的“发现只花2天，修复用了两个月”，把 AI 发现效率与真实修复周期之间的落差摆在了台面上。

为什么重要

它说明 AI 辅助漏洞发现不再只是演示性质的能力，而是进入了真实高危漏洞的处置链条。与此同时，提前泄密、演示视频流出和政府网站预防性下线，说明漏洞信息扩散和风险外溢速度可能快于补丁发布。发现变快不等于修复变快，修复仍受维护者响应、验证、发布流程和组织协调制约。

对谁有价值

安全团队、PHP 基础设施维护者、依赖开源组件的企业、AI 安全工具开发者以及技术管理者都值得关注。对安全团队而言，这是观察 AI 挖洞与应急响应如何衔接的样本；对企业而言，它提示关键开源组件的资产盘点和补丁窗口需要更前置。

可以怎么行动

一是把 AI 辅助发现纳入安全巡检，但把人工验证、影响评估和补丁验证作为必经环节。二是对 PHP 相关组件和对外服务做资产盘点，建立 CVE 响应 playbook。三是准备临时缓解和预防性下线方案，避免信息扩散时被动。四是把 OpenAI 发布的检测 skill 当作辅助工具，而不是替代人工判断。

风险或限制

公开信号能确认的是漏洞编号、AI 辅助发现、检测 skill、泄密与视频流出、政府网站预防性下线以及补丁上线时间点；更细的攻击面、利用条件和修复细节仍有限。AI 发现漏洞不等于 AI 能修复漏洞，单个案例也不宜被夸大为普遍规律。修复周期长，可能来自验证、发布和协调成本，而不是单一技术问题。

这条内容的真正价值，不只是“有人发布了一个新功能”，而是它揭示了 mp.weixin.qq.com 背后的产品方向、工作流变化或竞争信号。对 OPC 来说，这种信息可以转化成持续追踪的栏目选题。

如果把《卡兹克详解 AI 挖出的 PHP2Shell 漏洞：发现只花2天，修复用了两个月》放到你的内容系统里，它最大的价值在于帮助读者更快看懂“为什么值得关注”，而不是只看到一条碎片化动态。

• 公众号：数字生命卡兹克 原帖