PHP 緊急推出安全更新，修復 AI 協助發現的兩個嚴重漏洞

PHP 於週三發布緊急安全更新，修補了兩個嚴重漏洞。未經驗證的攻擊者可利用這些漏洞，在幾乎任何執行 PHP 的伺服器上執行程式碼。這次發布為緊張忙亂的兩天畫上句號；在修補程式準備好之前，互聯網上已有網站陸續下線。

修補版本為 PHP 8.5.12、8.4.27、8.3.36 和 8.2.35。PHP 在安全公告中表示，這些版本修補了兩個記憶體安全漏洞，編號為 CVE-2026-109618 和 CVE-2026-109619，兩者在 CVSS v4 評分中的分數均為 9.2。該專案稱，更新是「唯一安全的選擇」。公告指出，使用 Apache 搭配 mod_php 的網站風險最高，因為未經驗證的請求可在任何應用程式碼執行前觸發漏洞。

這次發布的特別之處，在於漏洞被發現的經過。安全公司 Calif 於八月發現首個漏洞，並獲 OpenAI 的 GPT-5.6 Sol 模型協助。這是 OpenAI 透過 Patch the Planet 計劃資助的一次 PHP 原始碼審核工作。Google 的 Wiz 團隊表示，數週後他們亦獨立發現了這些漏洞，期間使用了 Wiz Atlas、Google 的 Gemini 4 Argon 和 GPT-5.6 Sol。PHP 的安全公告一併鳴謝來自 Calif、Wiz 和 OpenAI 的研究人員。

各公司對事件的意義看法不一

OpenAI 將這次發現視為證明，認為 AI 能在網絡犯罪分子之前，找出影響整個互聯網的漏洞。該公司稱之為「防守者窗口」。

OpenAI 寫道：「考慮到這些漏洞的嚴重程度，以及 PHP 的廣泛使用，我們認為這是近期記憶中影響最深遠的安全問題之一。」

該公司承諾提供價值 $1bn 的補貼使用額度，讓資源不足的防守者使用其 Daybreak cyber programme。Calif 的説法則較為審慎。該公司在自己的文章中表示，只使用了普遍可用的模型，沒有使用特別工具。該公司指出，瞭解 PHP 的歷史比模型本身更重要。

該公司寫道：「至少目前，沒有任何模型能單憑簡單提示詞找出『所有漏洞』。」

OpenAI 模型協助研究人員在 PHP 中發現嚴重安全漏洞。

OpenAI (@OpenAI) October 21, 2026

修補程式推出前，網站已經下線

各國政府和公司沒有等待。歐盟網絡安全局 CERT-EU 和英國 NCSC 均建議機構在無法立即安裝修補程式時，將系統下線。美國國家安全局亦發布了警示。書籤服務 Pinboard、GrapheneOS 論壇和串流工具 OBS 均關閉了部分網站。Laravel 暫停其 Cloud 部署，並改用已安裝修補程式的映像檔重新建置。

這次發布亦提前推出。PHP 原定於 14:00 UTC 發布，較廣泛的禁發令則原定翌日解除。《Wall Street Journal》報道，在 Hacker News 的一則貼文洩漏相關細節後，PHP 提前發布了修補程式。安全公司 watchTowr 在修補程式推出前，已確認漏洞確實存在。其後，概念驗證漏洞利用程式在網上流傳。

非牟利組織 PHP Foundation 的安全工程師 Volker Dusch 向《Wall Street Journal》表示，這是 PHP 十多年來面對過最嚴重的問題。他將其比作 Heartbleed——這個 2014 年的漏洞曾引發全球修補程式更新競賽。Wiz 則將這些漏洞與 Heartbleed 和 Log4Shell 相提並論。該公司估計，全球約 70% 的網站使用 PHP。

十年的風險暴露

PHP 沒有指出受影響版本中最舊的版本。但 Calif、Wiz 和 Cloudflare 均指出，受影響範圍涵蓋 PHP 5.4 及之後版本，跨越逾十年的版本發布。鑑於問題嚴重，PHP 團隊為已停止支援的 7.4、8.0 和 8.1 分支發布了回移修補程式。PHP 警告，任何設定變更都不能完全取代更新。使用 PHP 的 WordPress 呼籲網站擁有人更新，並指出 8.2 之前的版本已不再獲得安全修補。

基礎設施供應商在這段空檔期間採取措施遏止攻擊。Cloudflare 表示，已於 03:02 UTC 為所有客戶啟用網頁應用程式防火牆規則，包括免費帳戶。該公司表示，這比漏洞披露時間早約九小時。規則陸續生效時，Cloudflare 監察到攻擊者不斷修改攻擊載荷，以繞過規則。

PHP 修補程式已推出。開始套用修補程式。非常感謝 @ThePHPF 協調各方合作！

Dane Knecht (@dok2001) 2026年10月21日

這是數月內第二次由 AI 發現的網絡軟件漏洞迫使大規模更新。遭大規模利用的 WordPress 漏洞於 7 月出現。OpenAI 表示，PHP 漏洞是它已發現的多個嚴重漏洞之一。該公司預計，未來數月「類似發現的數量將大幅增加」。目前，PHP 唯一認可的修復方法就是更新本身。