（本文作者为 穷奇观察，钛媒体经授权发布）

文 | 穷奇观察

十月十六日到二十三日，一周之内，四笔账陆续到期。

第一笔，PHP。两个埋在核心内存处理里的远程执行漏洞，被AI挖了出来：Calif的Ryan Austin八月十一日先用GPT-5.6 Sol出洞，Wiz、OpenAI、Chainguard随后各自独立重发现。十月二十一日补丁，官方评级9.2。补丁落地那一刻，据安全厂商以Shodan数据估算，全网约两百万台暴露服务器里99.99%还没打，69%跑在PHP已停止常规支持的版本上。但注意，PHP安全团队为此破例为7.4、8.0、8.1三个分支提供了最小化源码backport，比这更老的版本才真正无补。

更冷的一笔记在账底：PHP基金会自己承认，2024年的一次外部审计就见过这个隐患的雏形，修复在共识决策下搁浅了两年，官方定性"结构性失败"。保密期同样崩了盘：编号先泄，还附带编造的10.0分；演示视频误发；一家供应链安全公司提前六小时上架修补镜像，理由是蜜罐已经抓到攻击。发现、修复、保密，三个环节各自塌方，塌在同一个地方：没有人对账。