PHP 被发现两个评分 9.2 的内存安全漏洞 CVE-2026-109618 和 CVE-2026-109619，统称 PHP2Shell，可能影响全球约 70%、超过 3300 万个使用 PHP 的网站，NSA、NCSC 和日本首相高市早苗先后发出警告，PHP 官方于 10 月 21 日发布 PHP 8.5.12、8.4.27、8.3.36 和 8.2.35 四个安全版本。
同一件事，精选收录的是《PHP 曝出免登录远程代码执行漏洞 PHP2Shell，官方紧急发布多版本修复》
红杉资本转发合伙人 Bogomil Balkansky 的推文，称两个关键 PHP 漏洞导致大量网站关闭，包括荷兰和芬兰的政府网站。推文附路透社报道链接，其中欧盟机构警告在 PHP 准备补丁前，部分网站可能需要下线。
10 月 21 日，芬兰、荷兰、法国等多国政府和机构网站因 PHP 的两个漏洞 PHP2Shell 主动预防性下线，漏洞严重程度评分 9.2，影响可追溯至十多年前的 PHP 5.4。
推荐理由：文章梳理了 AI 找漏洞从实验室能力到迫使多国政府关站的过程，并解释攻击边际成本下降如何改变网络安全格局。
2026 年 10 月 21 日曝出多起重大安全事件：CA 机构 eMudhra 的私钥竟是"4"，8 个密钥被用于伪造任意网站长达 17 个月，6000 多万张证书有风险；SBI 确认 3897 名客户数据出现在暗网。
2026 年 10 月 21 日集中爆发多起安全事件：eMudhra 私钥竟是"4"，8 个密钥可伪造任意网站，6000 多万张证书有风险，持续 17 个月。GitLab 出现 10.0/10 满分未授权远程代码执行，Node.js 修复 10 个 CVE，php2shell（9.2 分）影响约 70% 网站。
香港网络安全事故协调中心发布公告，将多个PHP漏洞定为极高度风险，并警告其中两个漏洞正被广泛利用，可能导致远端程式代码执行。该中心建议各机构立即为受影响资产套用修补程式，无法即时修补的应考虑将面向互联网的应用程式与公共网络隔离，直至修补完成并验证。
信息通信行业反诈中心通报，结合近期涉诈案件，有27款App被不法分子利用实施电信网络诈骗活动。反诈中心提醒用户切勿轻信从非官方渠道下载App、转入小众软件通联的要求，如已安装相关App并遭受财产损失应及时向公安机关报案。
从银行到航空公司的日本企业纷纷下线数字服务以防范漏洞，成为常用编程语言 PHP 被发现漏洞后引发混乱的显著案例之一。
推荐理由：文章记录了 PHP 语言漏洞如何迫使日本银行和航空公司下线数字服务，是理解供应链漏洞现实冲击的实例。
工信部NVDB监测发现 PHP 存在两个远程代码执行超危漏洞，未经身份验证的攻击者可远程执行任意代码，导致服务器受控、敏感信息泄露、业务中断。
韩国政府因PHP漏洞将网络安全警报级别上调。目前暂无更多细节披露。
财联社10月22日电，韩国政府因 PHP 漏洞将国家网络安全警报级别上调。此次警报级别调整源于 PHP 相关安全漏洞的影响，韩方已相应提高警戒等级。
工信部网络安全威胁和漏洞信息共享平台（NVDB）监测发现PHP存在两个远程代码执行超危漏洞，未经身份验证的攻击者可远程执行任意代码，导致服务器受控、敏感信息泄露、业务中断。
韩国科技信息通信部周四将网络危机预警级别上调至警戒（caution），在四级预警体系中属第二低级别，以响应全球应对PHP中两处严重网络安全漏洞的行动。相关企业和政府机构已被要求进行系统更新以修复漏洞。
国家信息安全漏洞共享平台（CNVD）就 PHP2Shell 漏洞发布修复风险提示。
OpenAI 表示，鉴于这些缺陷的严重程度以及 PHP 的广泛使用，该漏洞被视为近年来影响最大的漏洞之一。
FT 报道，AI 发现 PHP 广泛存在的安全漏洞后，政府安全机构警告企业立即采取行动，多家网站为打补丁而暂时下线。Feed 仅有标题与导语，漏洞细节与受影响范围以原文完整报道为准。
Matthew Prince 统计了 #php2shell 漏洞的利用情况：在公开宣布前的 10 小时内，Cloudflare 网络观测到数千次利用尝试；宣布后 45 分钟跳升至数万次，2 小时内达数十万次，目前已是数百万次。
Node.js 针对 22.x、24.x 和 26.x 发布安全更新，修复多个漏洞，其中包括高危级别问题。官方建议用户查看更新详情并尽快升级系统以保持安全。
AWS 研究显示，PHP 关键漏洞 PHP2Shell 在 10 月 17 日即遭利用，早于本周三补丁公开四天；利用来自关联商业匿名网络的 IP，攻击者如何在披露前获得利用信息尚不清楚。AWS 首席信息安全官 CJ Moses 称 PHP2Shell 现已被大范围利用，并指出 AI 辅助分析让从补丁到可工作利用的时间结构性缩短，协调漏洞披露机制需随之演进。
国家计算机病毒应急处理中心和计算机病毒防治技术国家工程实验室发布警告称，“Weaxor”勒索病毒网络攻击持续活跃，可致用户重要文件遭加密勒索。相关分析依托国家计算机病毒协同分析平台开展。
Microsoft 表示观察到中国国家级关联组织 Storm-0940 使用名为 Artex 的中国 AI 智能体自动化网络攻击，目标覆盖全球数百个组织和多个行业。攻击最早发生在 9 月。
推荐理由：微软披露国家级攻击者用 AI 智能体自动化攻击的具体案例，读者可以借此了解 AI 被用于网络攻击的最新手法。
PingCAP 10 月 20 日通知所有 TiDB Cloud 客户立即轮换管理用 API 密钥，此前确认攻击者凭窃取的服务账号凭证在 9 月 9 日至 10 月 7 日进入内部系统，复制了邮箱、SQL 查询、合同账单设置及一张加密 API 密钥表，日文公告补充日本最多约 5 万条个人信息受影响，客户业务数据未发现被动过。
Railway 10 月 21 日通报，存放客户环境变量的系统被外人访问，部分密钥可能已被解密为明文，官方建议所有用户立即更换包括 API 密钥、数据库密码和私有镜像仓库凭证在内的全部环境变量，并检查服务日志。
推荐理由：原文梳理了 Railway 密钥系统被入侵后的官方应对与部署暂停影响，并关联此前 OpenCode 事件，提醒开发者及时轮换环境变量。
Railway 团队发布一则紧急安全通知，就 10 月 21 日的安全事件进行披露说明。通知通过 Railway 官方博客发布，具体事件细节以官方公告内容为准。
OpenAI 正牵头修复 8 月以来发现的 PHP 关键漏洞，并与美国政府新设的 Super Intelligence Force（SI Force）完成首次重大协作，向 CISA 及 Jay Clayton、Emil Michael 等通报情况。
Anthropic CEO 达里奥在 X 发长文，回应调查员 Nathan Calvin 对其安全承诺的质疑，首次披露今年 2 月训完的 Mythos 级高级模型因网络防御机制未就绪而雪藏约 4 个月，6 月安全护栏到位后才向公众开放，6 月 9 日推出的 Fable 5 属于该层级。
推荐理由：原文梳理了达里奥回击安全质疑的账本细节，包括雪藏模型四个月的经过与代价，读者可借此理解安全与竞赛的张力。
PHP 曝出两个危险评分达 9.2 的超高危漏洞，统称 PHP2Shell，最严重时可让攻击者无需登录即执行远程代码，影响从 PHP 5.4 起的几乎所有版本。
同一件事，精选收录的是《PHP 曝出免登录远程代码执行漏洞 PHP2Shell，官方紧急发布多版本修复》
安全公司 Calif 的研究人员与 OpenAI 合作，使用 GPT-5.6 Sol 模型在数天内发现 PHP 中两个严重漏洞，该缺陷自 2004 年版本即存在，PHP 驱动着互联网约 70% 的网站。
推荐理由：文章梳理了研究人员用 OpenAI 模型发现 PHP 严重漏洞的来龙去脉，以及 AI 介入漏洞发现带来的行业争议。
OpenAI 于 10 月 22 日更新使用政策，自 2026 年 11 月 20 日起生效。此次更新旨在明确安全模型开发和人工智能敏感用途的相关规则。
GitLab 于 10 月 12 日披露并修复 CI/CD 引擎中评分 10.0 的远程代码执行漏洞 CVE-2026-97229，攻击者无需登录即可在自托管实例上执行任意代码，且已有研究者公开可用 PoC。
研究人员借助 OpenAI 模型在 PHP 中发现两个存在数十年的严重漏洞，PHP 支撑近 70% 的网站，被利用时黑客无需密码即可控制脆弱的 Web 服务器。美国到日本的多国政府警告企业尽快打补丁，部分 Wikipedia 和 4chan 服务曾于周三暂时下线， defenders 正警惕未来几周可能出现利用这两个漏洞的攻击潮。
10 月 21 日 GitLab 修复一个 CVSS 满分 10 分的漏洞（CVE-2026-110264），某些条件下外人不用登录就能在自建服务器上运行任意程序，2014 年 7.0 版以来的所有自建版本都受影响，这是六周内第三个满分漏洞。
Amazon 警告，研究者利用 OpenAI 和 Google 模型发现的严重软件安全漏洞正被广泛利用，涉及全球大多数网站使用的软件。
TechCrunch 报道，AI 发现 PHP 关键安全漏洞后，全球多地政府网站下线，美国国家安全局（NSA）建议使用 PHP 的机构立即更新或暂时下线系统。
AI 被用于发现并阻止某类安全问题，但这类问题本身也因 AI 的存在而构成高风险。原文仅一句话，未提供涉及的公司、模型、漏洞细节或具体数据。
本周网络安全团队面临多重威胁：AI 发现的 PHP 漏洞，以及 Node.js 和流行 AI 工具 LiteLLM 中的缺陷。这些漏洞是本周安全团队需要重点关注的对象。
作者梳理两起安全事件：一是印度某证书颁发机构把私钥设成 4、56、66、115、155 等极弱数字，多次审计未发现，Chrome 和 Firefox 已在几小时内拉黑。
安全圈热议两件大事，其中之一是影响全球 70% 网站的 PHP 漏洞。另一件事是一家印度证书颁发机构使用了极易被猜出的数字作为私钥，密钥强度极弱，其中一个私钥甚至只是个位数"4"，其余还有 56、66、115、155 等简单数字，普通用户和互联网产品都可能受影响。
歸藏转述当天安全圈两件大事之一：一家印度证书颁发机构使用极易被猜到的数字作为私钥，强度极弱。其中一个私钥是单个数字 4，其余为 56、66、115、155，原本七十多位的密钥形同虚设。作者称此事对所有互联网用户和产品都有影响。
微软评估认为，Storm-0940 是最近披露的多租户应用程序和 ConnectWise 供应链攻击事件的幕后黑手。Storm-0940 的认证活动已在多客户环境中被检测到，目前暂未确认发生数据访问行为。
