不是漏洞变多了，是以前没人付得起那笔取证费。

PHP 引擎层两个内存安全漏洞（CVE-2026-109618/109619，CVSS 9.2）10 月 20 日披露、21 日补丁就位，一条未认证的 multipart POST 就能触发。修复版：8.5.12、8.4.27、8.3.36、8.2.35，跑 PHP 的赶紧升级；8.2 分支 2026-12-31 就 EOL 了。

注意，不是「AI 发现了漏洞」。是 OpenAI 的 Patch the Planet 和 Wiz 两拨人，各自用前沿模型把「这个老缺陷能不能被利用」的证明链跑通了。Wiz 的说法是：缺陷存在了几十年，证明它可利用处在人类研究者能力边缘，模型大幅降低了门槛。

AI 没造出新漏洞，它把「证明」变便宜了。接下来会有一批老漏洞集中浮出水面——不是安全变差了，是账本第一次被翻开。