AI 挖出的 PHP 漏洞让银行当晚停了站，而同一周还有第二颗雷
这两天全世界一堆网站在紧急维护，起因是两件事：一件是 AI 帮忙挖出的 PHP 远程代码执行漏洞（CVE-2026-109618/109619，9.2 分，免认证，mod_php 最危险，IIS 的 php-cgi 也在清单里）；另一件是 eMudhra 8 张中间 CA 私钥可被算出（其中一张的值是 4），属于信任根泄露。写清两者性质与处置的差别、Go/Java/Node/Python 为什么各自连夜更新、Java 那个 9.1 分为什么不是 RCE、Windows/IIS 上该怎么改，以及容器、CI、已编译二进制这些没人管的 CA 副本才是真正中招的地方。