鱼羊 发自 凹非寺
量子位 | 公众号 QbitAI
塌天大祸啊朋友们，最好的语言PHP暴雷了！
两个超高危漏洞刚刚被曝，危险评分都达到了9.2分的最高优先级范围。
最严重的情况下，攻击者无需登录即可在服务器上执行代码。从PHP 5.4开始的几乎所有版本都会受到影响（包括大量仍在使用的7.x和8.0/8.1）。
官方明确表示，没有完整的缓解措施，唯一安全的做法就是立即升级。
关键是，官方早就不支持PHP 8.1及更早版本了，想打补丁都没得打啊啊啊啊啊！
要知道全球七成网站背后都是PHP，路透社说荷兰、芬兰等地的一些政府网站已经提前下线，防一手可能到来的攻击。
日本那边也已经在连夜加班了……（霓虹的网站你懂的）
一片混乱之中，你猜怎么着？
嘿OpenAI它又双叒来了：
原来这俩被统称为PHP2Shell的漏洞，是GPT-5.6 Sol率先发现的。
OpenAI的原话是：
安全公司Calif使用GPT-5.6 Sol发现了PHP的关键漏洞。Wiz也独立发现了这两个漏洞并进行了报告。
并且后续补丁的更新上，OpenAI也起到了一个牵头的作用。
这帖子一发，大家伙的反应be like：
还得是AI啊？！
以及，给大家划个重点。OpenAI的公告里写到，这次PHP大暴雷，“只是我们已经发现并正在努力修复的众多重大漏洞中的一部分”。
OpenAI预计未来几个月内类似的漏洞数量将急剧增加。。。
GPT发现超级漏洞
细说这事儿前，还是给大家提个醒。
两个漏洞的编号分别是CVE-2026-109618和CVE-2026-109619。
CVE-2026-109618：通过内存溢出（OOM）导致内部数据结构不完整，请求清理时把无效数据当有效数据处理，可导致内存破坏和RCE（远程代码执行）。
CVE-2026-109619：请求相关的全局状态在内存释放后仍然残留，后续同一worker处理的请求会使用到已释放的内存（use-after-free），同样可导致RCE。
官方已经发布修复的版本包括：
PHP 8.5.12、PHP 8.4.27、PHP 8.3.36和PHP 8.2.35。
所有处理网页请求的PHP部署环境，包括PHP-FPM、搭载mod_php模块的Apache、php-cgi、FrankenPHP以及LiteSpeed，都面临风险。其中mod_php风险最高。
研究人员已经在部分WordPress、Drupal、Joomla部署上复现了未经登录的远程代码执行。
那GPT-5.6 Sol是怎么发现这俩漏洞的呢？
OpenAI在2026年6月推出了一项开源安全倡议，名叫“Patch the Planet（修复星球）”。
这个计划的核心目标就是用AI来帮助发现开源项目的漏洞，同时解决AI带来的新问题：模型能大量发现漏洞，但开源维护者人手严重不足，容易被海量报告淹没。所以AI不仅要找bug，还要debug。
安全公司Calif就是OpenAI的倡议合作伙伴之一。Calif也正是在Patch the Planet框架下，发现了这次PHP超级漏洞中的一个关键问题。
与此同时，另一家知名安全公司Wiz Research也独立发现并报告了相关漏洞。并且Wiz也在研究过程中用上了AI，包括Wiz Atlas、Gemini 4 Argon和GPT-5.6 Sol。其中Gemini 4 Argon在漏洞发现、漏洞利用开发、攻击检测和补丁验证方面发挥了“不可或缺的作用”。
于是在过去两个月中，OpenAI牵头协调，和PHP维护者、Wiz、Cloudflare等一起准备补丁和缓解措施，然后在刚刚公开并发布了修复版本。
（时间长主要是修复涉及PHP引擎底层，改动比较大。）
用OpenAI自己的话说，这一次，前沿AI是在攻击者之前，为维护者和安全厂商们打开了“防御者之窗”。
值得注意的是，OpenAI提醒，这次的漏洞影响重大，但还仅仅是个开始……
它们只是我们已经发现，并正在努力修复的众多重大漏洞中的一部分。我们未来几个月内类似的漏洞数量将急剧增加。
正如Wiz所说，AI降低了复杂漏洞的利用门槛，也能帮助防守方发现和修复漏洞。
一场AI时代新形态的AI竞赛，已经拉开序幕……
完整漏洞报告，可以参见PHP公告和Wiz报告：
PHP安全公告：https://www.php.net/index.php#2026-10-21-5
Wiz报告：https://www.wiz.io/blog/php2shell-php-rce
参考链接：
https://openai.com/index/coordinated-disclosure-of-critical-vulnerabilities/
一键三连「点赞」「转发」「小心心」
欢迎在评论区留下你的想法！
— 完 —
🌟 点亮星标 🌟
