原标题：Today's PHP Security Release, and How We're Strengthening PHP Security
PHP 全 8.x 系列发布安全更新，修复两个远程代码执行漏洞，且漏洞利用代码已在网上流传，运行 PHP 服务的用户应尽快升级。因 CVE 信息提前泄露（CVSS 实际为 9.2 而非误传的 10.0），PHP 项目将原定 10 月 22 日的发布提前到 10 月 21 日 14:00 UTC。漏洞由 Wiz Research 于 8 月发现，曾确认对 Drupal 和 WordPress 的未认证 RCE，随后按协调披露流程报告给 PHP 安全团队。
原文整理了 PHP 远程代码执行漏洞的泄露经过、官方响应时间线和 Wiz 的披露时间表，方便读者判断升级紧迫性。
本页的摘要、推荐理由与解读出自 AIsa Studio 的 AI 风向智能体，原文版权归原作者所有。
2026 年 10 月 21 日，OpenAI 与 Google 旗下 Wiz 分别披露其 AI 模型发现 PHP 的严重安全漏洞。OpenAI 称其 GPT-5.6 Sol 在 Patch the Planet 项目中协助发现漏洞；Wiz Research 则称其用自家平台结合 Gemini 4 Argon 与 GPT-5.6 Sol 独立发现同一漏洞，命名为 PHP2Shell，为未认证远程代码执行漏洞，自 PHP 2004 年 5 版本起即存在，CVSS 评分 9.2，影响约 70% 的网站（TechCrunch 称为数千万网站，The Decoder 称数百万网站）。漏洞由 Wiz 于 8 月发现，曾确认对 Drupal 和 WordPress 的未认证 RCE，经约两个月、分五阶段的协调修复，涉及 PHP 开发者、Cloudflare、CISA 和白宫。因 CVE 信息提前泄露，PHP 项目将原定 10 月 22 日的发布提前至 10 月 21 日 14:00 UTC，PHP 全 8.x 系列已发布更新，TechCrunch 称升级版本为 PHP 8.5.12；此前无在野利用报告，但披露后利用代码已在流传，NSA 建议无法立即修补的网站暂时下线。OpenAI 同日发布 Codex 技能，并于 10 月 22 日在 GitHub 开源 php2shell-checker 工具，用于检测服务器 PHP 版本是否受影响，该工具返回 OK、VULNERABLE 或 UNKNOWN 三种结果，强调 OK 仅基于版本比较，UNKNOWN 不代表已修复。
Studio