Wiz 发布题为 PHP2Shell 的博文，称人工智能发现了 PHP 中的关键远程代码执行漏洞。该消息于 2026 年 10 月 21 日登上 Hacker News，获得 432 分和 172 条评论。给定材料只有标题、来源和互动数字，没有版本、触发条件、补丁和 AI 的具体分工。下文只依据这些事实写，不外推材料里不存在的结论。对中文开发者，先分清社区在讨论什么和自己的栈要不要立刻动。

热度叠了两件事

PHP 仍广泛用于 Web，远程代码执行一旦成立，后果通常重于普通逻辑漏洞，标题本身就有传播力。另一半拉力来自「由 AI 发现」，它把挖洞分工和模型能力一起推上台前。432 分说明点开的人多，172 条评论说明求证很多。热度只能证明话题被看见，不能证明默认可触发，也不能证明利用已经发生。把分数读成技术定性，是最容易出现的误读。

事实清单很短

能确认的只有：披露名为 PHP2Shell，主张 PHP 存在关键 RCE，发现被归于 AI，并在当天形成 HN 热帖。小版本、配置依赖和修复状态均未知。「关键」是标题用语，不是可复算的评级。开发者应去官方公告核对，而不是根据热帖判断业务中招。公开解读也不应补全复现或利用路径；信息不足时补全，等于发明攻击面。

我的判断

价值在议程：提醒 PHP 运行时仍可能出现高严重性缺陷，也提醒 AI 挖洞正在变成披露叙事，读者要看证据链而不是署名。适用边界是优先级提醒，适合决定要不要打开公告、要不要提前更新运行时，不适合直接写影响面或对外口径。局限很硬，没有细节就没有工程判断，更无法断言 AI 已能稳定发现语言级 RCE。约束公开前，我主张高关注、零扩写。跟踪原披露与发行说明即可，不必把快讯写成应急手册。