OpenAI称AI协助发现PHP核心漏洞，补丁已发布
先了解这件事
OpenAI 称，其 GPT-5.6 Sol 模型在“Patch the Planet”计划下协助安全公司 Calif 的研究者发现 PHP 核心的严重漏洞；OpenAI 过去两个月牵头维护者、研究者与安全厂商组成联盟，在公开披露前完成修复，PHP 维护者于 2026 年 10 月 21 日发布补丁。OpenAI 称“据我们所知，前沿 AI 在攻击者之前发现了这些漏洞”，但 Ars Technica 报道称，漏洞在披露前四天已遭黑客利用。 Wiz Research 称，这些是 PHP 核心引擎中的多个内存安全漏洞（CVE-2026-109618/109619，CVSS 最高 9.2），无需认证即可远程执行代码并泄露内存，至少可追溯到 PHP 5.4，近十年发布的每个 PHP 版本都至少受其中一个影响；Wiz 表示其独立发现并报告了这两个漏洞。OpenAI 联合创始人 Greg Brockman 称该漏洞名为 php2shell，已存在 14 年；修复原定 10 月 22 日发布，因细节提前泄露而提前至 10 月 21 日。Simon Willison 称，PHP 8.x 全线更新修复两个远程代码执行漏洞，且协调披露流程泄露后，漏洞利用代码自 10 月 21 日晚起已在流传，呼吁尽快升级。 美国国家安全局（NSA）就这两个漏洞发出警告，称 PHP Foundation 已发布补丁；无法立即修复的网站应暂时下线，PHP 8.1 及更早版本已不再受支持。英国 NCSC 表示漏洞可能让黑客无需登录凭据即可控制网站服务器，白宫称联邦机构正在评估对政府系统和关键基础设施的潜在影响。OpenAI 还发布 Codex 技能，引导用户通过其 GitHub 仓库自查网站是否受影响。
AI 根据报道生成 · 12 天前更新
报道时间线
沿着报道，了解事件的不同侧面。
- Ars Technica：AI精选PHP2Shell 漏洞披露前黑客已有四天窗口，多国机构紧急响应
PHP2Shell 漏洞在被披露前四天已遭黑客利用，Calif 与 Wiz 的研究人员发现这些漏洞。OpenAI 称其前沿 AI 在攻击者之前发现了漏洞，并与 PHP、Calif、Wiz 合作验证并开发补丁。NSA 建议无法立即更新的机构将系统离线，英国 NCSC 表示漏洞可能让黑客无需登录凭据即可控制网站服务器，白宫称联邦机构正在评估对政府系统和关键基础设施的潜在影响。
- 404 Media精选404 Media 分析 PHP2Shell 事件如何改变 AI 时代的攻防格局
404 Media 的 Jason Koebler 梳理近一个月安全专家对 AI 挖洞能力引发的"Black October"恐慌。Wiz、Calif 和 OpenAI 的研究者用 AI 发现了 PHP 的 PHP2Shell 漏洞，Cloudflare CEO 称公开公告前 10 小时已见数千次利用尝试，公告后 2 小时内增至数十万，目前达数百万级。
- Latent Space精选Latent Space 梳理 PHP2Shell 漏洞事件：OpenAI Patch the Planet 与 Wiz 各自发现 PHP 核心漏洞
Latent Space 的 AINews 汇总梳理了 PHP 核心漏洞 PHP2Shell（CVE-2026-109618、CVE-2026-109619）的披露时间线，研究者在 PHP 引擎的内存溢出和致命错误处理中发现缺陷，演示了对 WordPress、Drupal、Joomla 的预认证 RCE 和远程内存泄露。
- Rohan Paul精选NSA 就 AI 发现的 PHP2Shell 关键漏洞发布修复警告
NSA 警告两个由 Calif 研究人员用 GPT-5.6 Sol 发现的 PHP 关键漏洞（PHP2Shell），敦促组织打补丁或将未修补服务器下线。两个漏洞位于 PHP 核心，在 Apache mod_php 上演示的利用可在应用代码运行前触发。
- 卡兹克AI 挖出潜伏十几年的 PHP 底层漏洞，PHP2Shell 事件全景复盘
作者复盘 PHP2Shell 事件：两个 CVSS 满分定为 9.2 分的 PHP 远程代码执行漏洞（CVE-2026-109618 和 CVE-2026-109619）在补丁发布前泄露，攻击演示视频外流，多国政府网站预防性下线，OpenAI 认领漏洞由 GPT-5.6 Sol 辅助发现。
- Ethan MollickEthan Mollick 借 PHP 漏洞与连环安全事件谈攻防加速
Ethan Mollick 转发并评论一天内集中爆发的网络安全事件：PHP 两个未登录即可远程执行代码的关键漏洞细节在补丁发布前泄露，Censys 称约 150 万台服务器无补丁，NSA、FBI、CISA 及日本首相等多方呼吁系统下线，荷兰议会、维基百科、Archive.org 等相继下线。同日还有 GitLab CVSS 10.0 漏洞、LiteLLM 1.107.0 供应链投毒、TiDB Cloud 入侵等事件；作者认为这是 AI 圈自 Mythos 发布以来所警告的攻防以非人类速度加速的可见迹象。
- 公众号：数字生命卡兹克精选卡兹克详解 AI 挖出的 PHP2Shell 漏洞：发现只花2天，修复用了两个月
作者复盘 PHP 两个 CVSS 满分起步的远程代码执行漏洞（CVE-2026-109618、CVE-2026-109619，合称 PHP2Shell）从提前泄密、演示视频流出、多国政府网站预防性下线，到21日晚10点补丁上线的全过程，并指出这两个漏洞是 GPT-5.6 Sol 辅助发现的，OpenAI 还发布了检测 skill。
- The Decoder：AI NewsGPT-5.6 Sol 与 Gemini 4 Argon 发现影响数百万网站的 PHP 关键漏洞
OpenAI 的 GPT-5.6 Sol 与 Google 的 Gemini 4 Argon 等大语言模型发现了影响全球数百万网站的 PHP 关键漏洞，OpenAI 称其为 Patch-the-Planet 计划中影响最大的安全问题之一。
- Simon Willison 博客PHP 全线 8.x 发布安全更新，修复两个远程代码执行漏洞
PHP 针对整条 8.x 线发布安全更新，修复两个远程代码执行漏洞，因协调披露流程泄露、漏洞利用代码已在流传，作者呼吁尽快升级。
- TechCrunch：AIOpenAI 与 Google Wiz 用 AI 发现潜伏 20 年的 PHP 严重漏洞，NSA 建议无法立即修复的网站先下线
NSA 发出警告称 PHP 中发现两个严重漏洞，PHP Foundation 已发布补丁；漏洞自 2004 年的 PHP 5 起就存在，影响约 70% 网站。
- Rohan Paul精选研究人员用 GPT-5.6 Sol 发现 PHP 两个 CVSS 9.2 严重漏洞
AI 安全公司 Calif 用 GPT-5.6 Sol 在 PHP 中发现两个 CVSS 9.2 严重漏洞，可让无账号攻击者接管 Web 服务器，影响远至 PHP 5.4 的版本，PHP 提前一天紧急发布修复。
- OpenAI精选OpenAI 发布 Codex 技能帮助网站自查 PHP 关键漏洞影响
OpenAI 为 PHP 关键漏洞提供 Codex 技能，引导用户运行 github.com/openai/php2shell-checker 仓库自查网站是否受影响。背景是其 Patch the Planet 计划中 OpenAI 模型帮助研究员发现 PHP 关键缺陷，修复涉及 PHP 引擎大改，经约两个月协调后披露，使用 PHP 的网站可升级版本并应用安全厂商的缓解措施。
- Greg BrockmanOpenAI 牵头修复潜伏 14 年的 PHP 漏洞 php2shell
Greg Brockman 披露 OpenAI 过去两个月牵头联盟修复 php2shell 漏洞，该漏洞由 Patch the Planet 计划用模型发现，可让攻击者在几乎所有已部署的 PHP 应用上执行代码，已在 PHP 中存在 14 年。
- Ethan MollickEthan Mollick 谈 AI 攻防下的补丁节奏：消费者也将频繁收到快速更新
Ethan Mollick 转发 OpenAI Patch the Planet 计划的进展：OpenAI 模型帮助研究者在 PHP 中发现严重安全漏洞，PHP 估计支撑约 70% 的网站。过去两个月 OpenAI 联合维护者、研究者和安全厂商完成修复并协调披露，用户现已可升级 PHP 版本并应用各安全厂商的缓解措施。Mollick 补充说，他接触的企业正因 AI 防御在攻击方 AI 发起攻势前抢先发现问题而疲于应付补丁节奏，普通消费者接下来也会同样经历频繁而快速的更新。
- OpenAIOpenAI 称其模型协助研究人员在披露前发现 PHP 关键漏洞
OpenAI 宣布其模型协助 Patch the Planet 计划下的研究人员发现影响约 70% 网站的开源语言 PHP 的关键安全漏洞。过去两个月 OpenAI 牵头维护者、研究人员和安全厂商联盟在披露前完成修复，修复涉及 PHP 引擎的大改动，使用 PHP 的网站现可升级版本并应用厂商缓解措施。
- Wiz：Research精选Wiz Research 披露 PHP2Shell：AI 助攻 PHP 核心 RCE 漏洞，影响全球 70% 网站
Wiz Research 披露 PHP 核心中的多个内存安全漏洞（CVE-2026-109618/109619，CVSS 最高 9.2），实现无需认证的远程代码执行与内存泄露，影响至少追溯到 PHP 5.4 的近十年版本。
- OpenAI：官网动态精选OpenAI 披露 Patch the Planet 计划借助 GPT-5.6 Sol 发现 PHP 关键漏洞并协调全球修复
OpenAI 宣布在过去两个月牵头维护者、研究者与安全厂商联盟，修复 PHP 的关键漏洞，其中 Calif 用 GPT-5.6 Sol 发现一处严重缺陷，Wiz 也独立发现并报告了这两个漏洞，PHP 维护者主导修复和发布。