GPT-5.6 Sol 協助發現 PHP2Shell 漏洞，凸顯 OpenAI 與 PHP 基金會的資源落差

撰文 | 李信马

题图 | AI制图

能力越大，责任该不该越大？

2026年9月，OpenAI曾承诺拿出10亿美元，补贴那些“安全资源有限、守护关键服务”的组织。OpenAI在今年的融资合计约1500亿美元，10亿美元是PHP基金会全年捐助收入的约1370倍——后者的2026年筹资目标，是70万美元。

2026年10月21日，PHP官方紧急发布四个版本——8.5.12、8.4.27、8.3.36、8.2.35——修补两个未认证远程代码执行漏洞，CVE-2026-109618与CVE-2026-109619。它们被合称为PHP2Shell，影响范围最早可追溯至PHP 5.4，近十年发布的每个版本至少受其中一个影响，支撑着全球约七成网站的PHP，让多国政府网站在补丁发布前主动下线。

10天过去了，目前还没有公开可确认的攻击成功案例。但来自奇安信Xlab的描述是已经出现了“后门植入、恶意命令执行、挖矿程序部署、远程控制连接、恶意载荷下载、服务器凭据/数据窃取器等多类实际利用行为，说明漏洞攻击已从探测进入实际利用阶段而不仅是扫描探测”。

此外，奇安信近24小时对中国PHP资产的测绘显示，8.5版本修复率约90%，8.4为45.4%，存量较大的8.2仅为10%。而8.1及以下版本资产没有官方补丁，却占据了全部资产的80.7%。国内（含港澳台）暴露资产规模为百万级，独立IP数十万级。

如果让笔者描述对此最直观的感受，那就是：火药已经发明了，守城的却还是村民自卫队。

01、有人没有“守住默契”

这次PHP的修复体系其实跑通了，真正被击穿的不是修复能力，而是另一套东西。

时间往回拨，2020年PHP就被报告过内存耗尽问题。2024年，PHP基金会用德国Sovereign Tech Agency的资金、通过OSTIF组织、由Quarkslab执行的首次外部安全审计中，一名基金会聘用的核心开发者已经发现了CVE-2026-109618背后OOM问题的最初迹象。安全团队提出多种修法，各有代价——破坏向后兼容、引入新的拒绝服务面、需要大量第三方扩展同步修改，共识制下无人敢拍板，修复工作数月内反复启动又停滞。

2026年7月30日，在OpenAI的Patch the Planet计划下，安全公司Calif开始审计PHP。8月11日，Calif研究员Ryan Austin报告无条件RCE，8月19日，Wiz Research独立发现了同样的漏洞，8月20日、21日分别在Drupal和WordPress上确认未认证RCE。9月21日，PHP确认Wiz的报告，开始协调修复。

到这一步都没有出问题，问题出在最后24小时。

10月20日，两个CVE编号开始在论坛和社交媒体流传，附带错误的发布时间和错误的CVSS 10.0评分。晚上Calif误发了PoC演示视频，删除后副本在社交媒体扩散。10月21日，Cloudflare又提前约9小时为全部客户（含免费）默认开启WAF防护，同日Chainguard单方面打破禁令，提前六个多小时发布含修复的容器镜像，CEO Dan Lorenc给出的理由是“有活跃利用证据”。PHP基金会对此的态度是：“无视了多方数周的协调工作。”

55分钟后，ELLIO传感器记录到第一个PHP2Shell请求——比修复公开早5.5小时。

DoNews制图

这一连串的错误，让本来趋近于零的风险迅速扩大，进而引发了全球性的恐慌，大量网站选择暂时下线。360漏洞研究院在监控到相关情报后不久，就发布了第一次风险预警，距离最早捕获漏洞消息大概几个小时，当时官方补丁还没有出来，公开的信息也不完整，只能根据已有线索去推断漏洞路径，尝试自己还原PoC。“同一时间网上已经出现了不少所谓的PoC，真假混在一起。我们只能一个个去验证。”来自360的安全专家解释到：“做过应急的人都知道，这种时候最怕的不是没有情报，而是情报太多，却不知道哪条是真的。”

不过好消息是，360在逐一验证了网上传播的PoC后发现，在官方补丁发布前，这七八种PoC都没有准确还原真正的漏洞利用路径，直到官方补丁发布以后，他们才用图龙锋完成了漏洞复现，可见攻击并非那么容易实现。

事后，Chainguard向PHP基金会捐了5万美元。但问题已经凸显了，协调披露这件事，一般是靠业界的默契与自律，但自律在商业利益和恐慌面前，从来不具约束力。

02、三种处境，三种难处

在整个事件中，能力最强大的一方，反而没有任何法定义务。

OpenAI是这次事件的起点，Calif正是用GPT-5.6 Sol找到了那个关键缺陷。2026年7月，OpenAI的AI代理在安全评估中突破沙箱隔离，自主入侵了Hugging Face的生产基础设施。ETR与Redwood Research发布的独立红队报告显示，约10%符合条件的内部Codex流量未被覆盖，AI代理在原则上可绕过沙箱和自动审查。

图片来源：X

而安全厂商有能力，但会把公司利益放到第一位，Chainguard抢跑发了镜像这件事情就让人很难评价，甚至让人感觉，他们把漏洞曝光当成了销售现场。

最下面的维护方责任最大，资源最少，PHP基金会有1名全职员工（执行董事Elizabeth Barron）和14名多为兼职的外包，董事会无薪，账上余额约够四个月。甚至它在法律上不拥有、不治理PHP，也不是独立法人。

官方紧急发布四个版本只覆盖到8.2版本，但在国内，奇安信Xlab的鹰图平台监测到带版本信息资产中超过九成属于8.1及以下无官方新版本的分支。此外，主机面板与集成环境可识别约12万条，其中cPanel/WHM约10.6万条，宝塔、phpStudy等国产面板合计约1.5万条——这批机器的主人，很多根本不知道自己跑着PHP。

这套体系如果说在以前还能不出问题，在AI时代，就越来越难以为继了。AI让漏洞发现的效率大大提升，进而降低了网络攻击的门槛。在《让Agent挖漏洞：360想打造“中国版Mythos”》中我们就谈到，2026年4月Anthropic发布新模型‌Claude Mythos Preview后，自主发现了OpenBSD系统中潜伏27年的TCP SACK漏洞，以及FFmpeg中沉睡16年的H.264解码器漏洞，直接带动美国网络安全股集体暴跌。因为如果AI可以自动、批量、低成本地发现漏洞，那传统安全公司的商业模式和技术体系都要被重新估值。

现在问题更进一步，整个互联网世界的安全，需不需要一个更有效的体系？

03、AI改变了游戏规则

有关AI带来的效果提升，奇安信人工智能公司安全专家表示柯强：“过去资深工程师挖1个高危漏洞平均需要3到7天，而Mythos级别的模型将这一耗时压缩到了‘分钟级’甚至几十秒。”

产能更能说明问题。奇安信2026年中漏洞报告显示，上半年新增漏洞总量35467个，同比增长51.9%，高危及极危漏洞占比52.1%，总量达18464个。漏洞披露明显节奏加快、高危集中爆发。

AI的价值在于它能跨模块、跨请求地关联分析。“把分散在不同代码里的线索串联起来，把一个此前没能证实的异常，转化成可验证的远程代码执行路径。”360的安全专家表示，过去安全专家的大量时间花在寻找线索上，现在AI正在把这些时间释放出来。比如360的图龙锋给麒麟软件开展安全体检时，几分钟就筛选出了多个值得重点分析的入口；给首都在线开展专项测试时，两类检测任务也都在小时级完成。在图龙锋开放不到4个月的时间里，已经累计挖掘漏洞超过1.5万个。

当然，AI给出的也只是需要验证的假设，攻击路径越长，推理过程中出错并逐步传递的风险就越高，所以我们也不需要过于担忧单次的漏洞事件。但短期来看，AI的确让安全风险增大了。柯强说：“AI让攻击侧单点突破成本骤降、防守侧全面覆盖压力更大——攻击者只需找到一个入口，防守方却要守住所有资产，AI对攻击侧的边际收益更大。”

360的安全专家也表示：“AI可以帮助研究人员加快挖洞，攻击者同样可以利用AI提升研究效率。而厂商修复漏洞、用户测试补丁、企业完成升级，这些环节未必能同步提速。一旦漏洞被挖出来的速度，比漏洞被修好的速度快，短期内的安全风险就会明显增加。所以我真正值得担心的是，AI已经开始以更快的速度发现漏洞，而我们的安全防护和修复体系，还在按照过去的速度运转。”

回到那组数字。OpenAI今年融资合计约1500亿美元，而PHP基金会的年筹资目标才仅为70万美元，这是从财力到技术水平的碾压。下一个漏洞一定会被AI挖出来，而且会更快，但挖出来之后，谁来付修洞的钱，谁来保证业界的“默契”，还有谁来提大量“裸奔”的机器负责呢？

OpenAI往前走了一步，除了承诺10亿美元Daybreak补贴，还提出了一套“适合AI时代”的五阶段响应框架（验证修复上游漏洞、给受影响组织预留时间、协调政府伙伴、准备跨产品更新、发布指引支持部署）。月之暗面10月24日发布了Kimi K3.1 Pro，团队主动从中期训练语料和强化学习任务环境中剔除高端网络攻击、漏洞利用相关内容。

还是回到最初的问题：在AI时代，能力越大，责任该不该越大？