AI 发现 PHP 高危漏洞，70% 网站受影响已修复
OpenAI 牵头发现两项 PHP 高危漏洞（CVSS 9.2），影响约 70% 网站。PHP 官方已发布修复版本，OpenAI 另宣布投入 10 亿美元支持安全资源有限的组织。
两项高危漏洞被修复，全球约 70% 网站受影响
PHP 基金会于 10 月 21 日发布了紧急安全更新，修复了被命名为 "PHP2Shell" 的两项严重漏洞（CVE-2026-109618 和 CVE-2026-109619），两项漏洞的 CVSS v4.0 评分均为 9.2，属于极高危级别。修复版本涵盖 PHP 8.5.12、8.4.27、8.3.36 和 8.2.35。
PHP 是支撑全球大量网站和 Web 应用的开源脚本语言，业界估计约 70% 的网站依赖其运行。此次漏洞可能允许未经身份验证的攻击者远程执行代码，进而篡改网站内容、读取敏感数据或入侵服务器。
AI 模型参与漏洞发现
本次漏洞的发现过程值得关注。OpenAI 公司通过其 "Patch the Planet"（修补地球） 计划，协助安全研究人员发现了这两项缺陷：
- 安全公司 Calif 借助 OpenAI 的 GPT-5.6 Sol 模型发现了其中一项关键缺陷；
- 谷歌旗下的 Wiz 则独立发现并报告了相关漏洞。
OpenAI 称，这是前沿 AI 在攻击者之前发现高危漏洞的案例，为维护者和防御方争取到了所谓的"防御者之窗"。不过，公司也承认同样的 AI 能力可能被攻击者用于更快开发攻击工具和漏洞利用程序，安全风险与防御价值并存。
全球协同修复历时约两个月
漏洞从发现到公开披露，经历了约两个月的协调修复期。PHP 官方维护者主导了漏洞验证、修复开发与版本发布；OpenAI、Wiz、Cloudflare 等则提供研究、技术支持和跨机构协调，以便在公开披露前完成防护准备。参与方还包括多国网络安全机构。
运营方应如何排查风险
OpenAI 已发布一个 PHP 版本检查工具（作为 Codex 技能提供），帮助运维人员识别可能受影响的 PHP 版本，并结合官方升级指引确定适用的修复方案。
OpenAI 建议受影响的组织采取以下措施：
- 尽快应用补丁，升级到上述修复版本；
- 检查系统暴露情况，评估是否存在远程代码执行风险；
- 按 CISA 的风险优先级指引，采取紧急修补、临时缓解或计划性升级。
OpenAI 宣布 10 亿美元安全投入
OpenAI 同时宣布，将投入 10 亿美元（约合 66.91 亿元人民币），通过 "Daybreak for Frontline Defenders" 项目，向安全资源有限、负责关键服务的组织提供补贴访问，帮助其使用 AI 开展漏洞发现、系统监测和应急响应。
此外，OpenAI 提出了一套面向 AI 时代的漏洞响应框架，涵盖五个阶段：上游验证与修复、提前通知受影响机构、政府协作、跨产品更新准备，以及补丁发布后的部署支持。
对开发者和运维的启示
此次事件传递出几个关键信号：AI 模型正在成为漏洞发现的新工具，安全团队应关注 AI 辅助的代码审计能力；同时，漏洞响应需要跨机构协作，单靠一方难以在攻击者之前完成修复。对于运营 PHP 服务的团队而言，保持版本更新和关注安全公告仍是基本要求。