宝玉整理PHP2Shell漏洞经过：原定10月22日公开，因提前曝光改为21日发布补丁

宝玉（@dotey）发帖整理称，PHP官方10月21日紧急发布8.5.12、8.4.27、8.3.36、8.2.35四个版本，修补CVE-2026-109618和CVE-2026-109619两个严重漏洞，研究者称之为PHP2Shell。按PHP官方的说法，攻击者无需登录，发送特制请求就可能在服务器上执行任意代码。

据其整理，PHP-FPM、Apache mod_php、LiteSpeed等常见运行方式都在风险范围内，其中mod_php风险最高；按Wiz和Sansec的说法，PHP 5.4以来的版本都受影响。PHP 8.1及更早版本官方已停止维护，只为7.4、8.0、8.1提供源码补丁。使用虚拟主机的站长需由主机商升级PHP。PHP官方称临时配置只能降低风险，升级才是唯一完整的办法；Cloudflare已为所有用户（含免费版）上线拦截规则，但也称只是临时措施。

关于发现过程，OpenAI称安全公司Calif在其Patch the Planet计划中用GPT-5.6 Sol找到漏洞；据Sansec整理的时间线，Calif在8月11日报给PHP。Wiz也独立发现并上报，使用了Gemini 4 Argon和GPT-5.6 Sol等工具。

宝玉称，漏洞原定10月22日公开，20日有人在Hacker News发帖提前曝光，PHP官方随即把发布提前到21日。Cloudflare CTO在补丁发布前几小时称已看到早期攻击；watchTowr称已有人用AI辅助写的工具发起攻击。荷兰政府的DigiD等网站先行下线。推瓜社此前据X News报道称补丁“原定为10月21日14:00 UTC”，与宝玉的整理说法不一。

以上为宝玉对PHP官方、OpenAI、Wiz等公开信息的整理，本社未逐一核对原文。