OpenAI 協助協調修復 PHP 兩項高危漏洞，業界估計約 70% 網站依賴 PHP

IT之家 10 月 22 日消息，OpenAI 公司昨日（10 月 21 日）發佈博文，宣佈通過其“修補地球”（Patch the Planet）計劃，協助安全研究人員發現了 PHP 編程語言中的兩項嚴重漏洞，並聯合 PHP 維護團隊、安全公司、雲服務商及多國網絡安全機構，在漏洞公開前完成了為期約兩個月的協調修復。

安全公司 Calif 藉助 OpenAI 的 GPT-5.6 Sol 模型發現其中一項關鍵缺陷；谷歌旗下的 Wiz 則獨立發現並報告了相關漏洞。PHP 官方維護者主導了漏洞驗證、修復開發與版本發佈，OpenAI、Wiz、Cloudflare 等則提供研究、技術支持和跨機構協調，以便在公開披露前完成防護準備。

OpenAI 稱，這是前沿 AI 在攻擊者之前發現高危漏洞的案例，為維護者和防禦方爭取到所謂“防禦者之窗”。不過，公司也承認，同樣的 AI 能力可能被攻擊者用於更快開發攻擊工具和漏洞利用程序，安全風險與防禦價值並存。

影响约 70% 网站：PHP 高危漏洞被修复，OpenAI 牵头协调全球发现 / 修复

IT之家此前報道，本次曝光的兩項漏洞被統稱為“PHP2Shell”，編號分別為 CVE-2026-109618 和 CVE-2026-109619，CVSS v4.0 評分均為 9.2。

PHP 是支撐全球大量網站和 Web 應用的開源腳本語言，業界估計約 70% 的網站依賴其運行。此次漏洞可能允許未經身份驗證的攻擊者遠程執行代碼，進而篡改網站內容、讀取敏感數據或入侵服務器。PHP 基金會已於 10 月 21 日發佈緊急安全更新，修復版本包括 PHP 8.5.12、8.4.27、8.3.36 和 8.2.35。

為幫助運營方排查風險，OpenAI 已發佈一個 PHP 版本檢查工具，作為 Codex 技能供運維人員識別可能受影響的 PHP 版本，並結合官方升級指引確定適用的修復方案。

OpenAI 推薦使用 PHP 的組織被建議儘快應用補丁、檢查系統暴露情況，並按 CISA 的風險優先級指引採取緊急修補、臨時緩解或計劃性升級。

OpenAI 同時宣佈，將投入 10 億美元（IT之家注：現匯率約合 66.91 億元人民幣），通過“Daybreak for Frontline Defenders”向安全資源有限、負責關鍵服務的組織提供補貼訪問，幫助其使用 AI 開展漏洞發現、系統監測和應急響應。

該公司還提出一套面向 AI 時代的漏洞響應框架，涵蓋上游驗證與修復、提前通知受影響機構、政府協作、跨產品更新準備以及補丁發佈後的部署支持等五個階段。

相關閲讀：