10 月 21 日，Wiz 研究团队披露 PHP 核心引擎的一组内存安全漏洞，归到两个 CVE，严重度最高 CVSS 9.2；同一天 PHP 发布 8.5.12、8.4.27、8.3.36、8.2.35 修复。

为什么这次比普通 PHP 漏洞严重：问题在语言核心，跟你应用代码写得好不好无关。未认证攻击者可以执行代码，也可以读走进程内存——那里面可能有别的请求的密码、认证令牌、API Key 和证书，Wiz 把它类比成 Heartbleed 式的泄露。PHP 官方公告把风险最高的场景点了名：mod_php，一个未认证请求能在任何应用代码跑起来之前就触发。

范围也大：Wiz 说过去十年发布的每个 PHP 版本至少中一个，回溯到 5.4；PHP 官方说所有处理 web 请求的安装都在风险里，包括 PHP-FPM、Apache mod_php、php-cgi、FrankenPHP、LiteSpeed。PHP 撑起约七成网站（WordPress、Drupal、MediaWiki 都在上面），所以 Cloudflare、Fastly、Akamai、AWS、Google、Imperva、Microsoft、Vercel 当天一起发了临时缓解。

AI 在这个事件里的位置是 Wiz 自己写的：这条利用链要串联多个缺陷、还要按每个目标的内存布局反复调试，原本处在「人类研究员能做到的边缘」；前沿模型把这道门槛大幅拉低，几小时内就能在多个应用上做出可用利用。同一天 OpenAI 和 Calif 也发了协调披露的文章。

七成是 PHP 的网站占有率口径，不等于受影响站点数；补丁发布当天不等于生态升级完成，托管商、容器镜像、发行版仓库都还得跟；披露方是安全厂商，利用细节未完全公开。
我的判断：这次的信号不是「又一个大厂漏洞」，而是「AI 把放了很多年的老缺陷变成可用利用」的第一个大样本。手上跑 PHP 的，今天先做一件事——查版本、打补丁，别等托管商。