10月21日，美国国家安全局（NSA）就PHP语言的两个严重漏洞发出警告，同日PHP基金会发布补丁。据TechCrunch报道，这两个漏洞允许攻击者入侵服务器文件系统或数据库，CVSS评分最高9.2（据安全公司Wiz Research披露，编号CVE-2026-109618、CVE-2026-109619），且自2004年的PHP 5起就存在于所有版本中——PHP驱动全球约70%的网站，WordPress等内容管理系统同样基于PHP。NSA的建议相当罕见：无法立即修补的网站应先下线，直到完成修复，官方推荐升级至当前版本PHP 8.5.12（PHP 8.1及更早版本已停止支持）。

漏洞是AI找到的，也因AI更危险

据OpenAI与Wiz披露，安全测试公司Calif在OpenAI「Patch the Planet」计划中借助GPT-5.6 Sol发现了其中一个漏洞；Wiz团队则使用其Wiz Atlas安全智能体、Gemini 4 Argon与GPT-5.6 Sol发现了多个PHP漏洞。两家公司均遵循负责任披露流程，先与PHP方面协作补丁、测试后再公开，目前尚无野外利用报告。但Wiz同时警告：在AI出现之前，这些漏洞对攻击者而言太难利用；如今大模型可以帮助把攻击适配到不同PHP版本、配置与内存布局——过去的技术屏障已不复存在。

为什么值得财务与自动化岗位关注

这不是「又一起安全新闻」：AI同时成为漏洞挖掘与漏洞利用的加速器。对运行自建系统、网站、API网关的企业，处置路径已经很明确——核查技术栈中的PHP版本并打补丁或升级，短期无法修复的按NSA建议先隔离下线。对把业务流程交给智能体自动执行的团队，把「关键系统版本基线核查」固化为每次运行自动校验的规则，比事后应急便宜得多。