PHP 在 10 月 21 日推出 8.5.12、8.4.27、8.3.36 和 8.2.35，一次修掉 CVE-2026-109618 和 CVE-2026-109619。兩個漏洞都評為 9.2。官方寫，未登入的人可以在處理網頁請求的 PHP 上執行程式。同日，Wiz Research 的網誌寫，這次研究用了 AI 模型。會自己管網站的人，先對版本，再看下面兩則產品消息。
官方把風險寫在哪一種架設
PHP 官方頁寫，受影響的是所有處理網頁請求的安裝，包括 PHP-FPM、Apache 的 mod_php、php-cgi、FrankenPHP 和 LiteSpeed。它認為風險最高的是 mod_php，並寫已經有示範：一個未登入的請求，可以在應用程式的程式碼開始之前觸發。
同一頁寫，沒有完整的臨時替代，更新是唯一安全的做法。香港政府電腦保安事故協調中心在 10 月 21 日發出高威脅警報，10 月 22 日更新時補充：有報告指概念驗證程式已經出現，漏洞正被利用。警報要求管理員更新；若估計未能及時修補，對外系統應考慮先離開公開網絡。
官方頁把下一步放在更新版本。政府警報另寫，有報告指概念驗證程式已經出現。那一句在警報裡，PHP 首頁沒有寫。
哪個版本才算更新完成
PHP 把修復版本列在下載頁。8.2 這條分支在 2026 年 12 月 31 日結束支援，8.2.35 是它的安全更新，用這條分支的網站要另排升級。8.1 和更舊的版本，PHP 專案不再發佈更新；有些 Linux 發行版會自己移植修補，其餘要升到仍受支援的版本。
| 分支 | 修復版本 | 官方頁上的下一句 |
|---|---|---|
| 8.5 | 8.5.12 | 安全發佈，請立刻更新 |
| 8.4 | 8.4.27 | 安全發佈，請立刻更新 |
| 8.3 | 8.3.36 | 安全發佈，請立刻更新 |
| 8.2 | 8.2.35 | 2026 年 12 月 31 日結束支援 |
官方首頁同時寫，PHP 8.6 的候選版本也包含這兩個修補，但候選版不應用於正式環境。主機若只說「已經是 8.6」，要問清楚是正式版還是候選版。
Wiz 說模型在研究裡做了什麼
Wiz Research 在 10 月 21 日的網誌把這組問題稱為 PHP2Shell。網誌寫，研究用了自家的 Wiz Atlas，以及 Gemini 4 Argon 和 GPT-5.6 Sol，並稱 Gemini 4 Argon 在找出漏洞和核對修補上出了力。網誌又寫，PHP 支撐全球約七成網站。這句是 Wiz 的說法，PHP 官方頁沒有寫這個比例。
所以這則新聞有兩層。一層是 PHP 已經給出修復版本，網站要更新。另一層是找出問題的過程用了模型。Wiz 在研究裡使用這些模型，網誌是研究公開時的說明。模型名稱以這篇網誌為準。官方頁強調的是更新。
Claude Duet 為什麼要先問你
Anthropic 在 10 月 21 日開出 Claude Duet 的研究預覽。官方寫，這是獨立應用，有 iOS、Android，也可以在 claude.ai 使用。它會把需要你看的事送過來，完成你交出的工作，你離開之後仍繼續做，代你行動之前先問你。
預覽包含在 Pro 和 Max 計畫裡，用量和 Claude 其他功能共用，不另收費。設計圍繞 Claude Opus 5.5，對象是事情多到自己跟不住的專業人士和小企業。候補名單先給美國的 Pro 和 Max 用戶。官方同時寫，它仍可能誤判哪一件事緊急。香港讀者現在不能把它當成已經在本地應用商店開放的功能。
Google Cloud 為什麼說自己有三家的模型
Google Cloud 在 10 月 21 日的網誌寫，Model Garden 放上 OpenAI 的模型，並點名 GPT-6 Astra、GPT-6.1 Sol 和 GPT-6 Luna。網誌稱，Google Cloud 是唯一同時提供三家主要封閉模型的超大規模雲端，平台上還有超過 200 個第一方、第三方和開放模型。
可用範圍要看同一篇裡的兩句。一句寫，三個模型現正以私人預覽向指定企業客戶推出。另一句寫，即日起可以經 API 使用，並把本機的 Codex 命令列和桌面工作流程接到平台上做推論。兩句都在官方網誌，沒有寫成已經對所有個人帳戶開放。企業若要試，先看 Model Garden 上自己的帳戶有沒有這三張模型卡。
自己有網站的人先做哪一步
WordPress、Drupal 一類網站很多跑在 PHP 上。主機面板若看得到版本，對照上表。看不到，就問主機商現在的 PHP 是哪一個小版本，以及套件會不會自己更新。政府警報和 PHP 官方頁都把下一步放在更新。更換主題或外掛沒有寫在這兩頁上。
租用主機、自己不碰伺服器的人，這一則的用途是知道要問哪一句。自己編譯原始碼的人，去 PHP 下載頁取上述版本。不要拿 8.6 候選版應付正式網站。
相關討論
- PHP 官方：安全發佈和修復版本
- 政府電腦保安事故協調中心：高威脅警報 A26-10-36
- Wiz Research：研究裡用了哪些模型
- Google Cloud：Model Garden 放上 OpenAI 模型
總結
這輪最重要的仍是 PHP 那兩個漏洞已經有修復版本。Claude Duet 和 Google Cloud 的模型上架是產品消息，會跑網站的人今晚先對的是 PHP 小版本。