PHP 官方于 10月21日 14:00（UTC）发布 8.5.12、8.4.27、8.3.36、8.2.35 四个安全版本，修复 CVE-2026-109618 与 CVE-2026-109619 两个漏洞，可在无需登录的情况下远程执行代码。两者的 9.2 分是 PHP 项目方按 CVSS v4.0 给出的自评分，美国国家漏洞库（NVD）尚未评分；官方称升级是唯一安全选择，8.1 及更早版本没有上游修复。PHP 官方公告 美国网络安全局 CISA 敦促立即打补丁，并称截至发布时尚未观察到在野成功利用；无法马上升级的系统建议先下线。CISA 警报
据《卫报》报道，研究人员借助 AI 工具找出了这组可能潜伏多年的缺陷，业内把这段时间称作“黑色十月”。Anthropic 副首席信息安全官 Jason Clinton 10月22日在 X 上发帖预测，未来几个月将出现“漏洞海啸”（vulnerability tsunami），关键基础设施“将没有足够时间打补丁”。卫报
据《卫报》报道，OpenAI 首席执行官 Altman 10月22日晚（当地时间）表示：“我不再认为我们能把所有漏洞都补上。”他还称模型能找到“常规威胁模型之外”的漏洞，包括“硬件层面的疯狂问题”，防御模式需要整体转向用同一种技术搭建新的防护盾。卫报、Gizmodo
游仕点评：同一把 AI 钥匙，既能替守门人找到裂缝，也能替闯入者找到门。补丁还得打，但光靠补丁已经不够了。