PHP 紧急修复两个未认证 RCE 漏洞，OpenAI 模型参与发现
10 月 21 日，PHP 官方发布紧急安全更新，8.5.12、8.4.27、8.3.36、8.2.35 四个版本修复了两个可导致未认证远程代码执行（RCE）的关键漏洞 CVE-2026-109618 与 CVE-2026-109619（CVSSv4 评分 9.2），所有处理 Web 请求的 PHP 部署（PHP-FPM、modphp、php-cgi、FrankenPHP、LiteSpeed）均受影响，modphp 风险最高——已有演示 exploit 可在应用代码执行前由未认证请求触发。OpenAI 宣布其「Patch the Planet」计划的研究人员借助 OpenAI 模型发现了这些漏洞，事件因波及全球约 70% 网站而引发广泛关注，FBI、NSA 相继发布紧急建议，荷兰政府预防性下线部分网站。
已确认
- PHP 官方通告确认两个未认证 RCE 漏洞及四个修复版本。安全团队此前已预告 10 月 21 日 14:00 UTC 发布更新，日本时间 21 日深夜 23 时补丁上线，细节由 @DanielLockyer、@cyberforecast 等转述官方通告。
- OpenAI 在 m1/m2 官方帖中宣布模型帮助发现漏洞，过去两个月联合维护者与安全厂商协调修复，因涉及 PHP 引擎重大改动而耗时较长；@YuchenjUW 称漏洞由 GPT-5.6 Sol 发现。据 Polymarket 快讯，「Patch the Planet」被定位为系统性用 AI 挖掘并修复开源软件漏洞的全球网络安全倡议；Wes Roth 的视频梳理还提到 Google 的模型也参与了漏洞揭示。
- 美国官方高度介入：FBI 网络部门通报两个 CVE 并建议无法立即升级的组织先下线系统；NSA 发布立即生效的紧急建议，要求尽快更新或将系统下线直至完全缓解。
- Laravel 创始人 Taylor Otwell 确认 Laravel 全线紧急适配补丁；漏洞源自 PHP 本体而非插件，插件开发者无法代为修复，WordPress 站长被敦促连夜待命打补丁。
- 供应链安全公司负责人 Dan Lorenc 透露，在漏洞仍处 embargo 期间，前沿模型加自研 harness 仅凭一句 "find bad vulnerabilities" 提示词便独立复现了 CVE。
- Wes Roth 报道荷兰中央政府为预防起见主动下线部分政府网站。
尚未确认
- 各帖对 PHP 覆盖面表述不一（约 70%、80% 或 8%），具体比例无法核实，以 OpenAI 官方帖的「约 70%」为准。
- @cyb3rops 曾提及其独立证实的 CVSS 10.0 满分 RCE 漏洞且旧版本不获补丁，与官方通告的两个 9.2 分漏洞的关系未明确。
- 「补丁发布后 15 分钟内或遭 AI 自动化攻击」为日本安全圈的预警性判断，尚无实际野外利用的确认报告。
为什么重要
- 这是 AI 模型系统性发现广泛部署开源软件关键漏洞的标志性案例：@Sriramk 认为这预示 AI 将通过发现长期潜伏的安全问题让互联网更安全，但软件供应链需具备快速构建部署修复的能力，并可能需要更多公私合作。
- @YuchenjUW 将其置于数日内多起安全事件（如 LiteLLM 供应链攻击）背景中，指出 AI 同时也在让攻击更快更便宜，防御与攻击能力在同步升级。
2026-10-21 ~ 2026-10-23 · 110 条相关
- 第 1 集:PHP 紧急修复两个未认证 RCE 漏洞，OpenAI 模型参与发现(2026-10-21,110 条)
- 第 2 集:研究者预测 LLM 扫 PHP 代码库或挖出数十个漏洞(2026-10-21,3 条)
- 第 3 集:PHP 远程代码执行 POC 被证实可用，利用仍有门槛(2026-10-21,2 条)
- 第 4 集:安全圈「黑色十月」：27起重大漏洞与供应链事件连环爆发(2026-10-21,19 条)
- 第 5 集:PHP 前鉴权 RCE 漏洞 POC 泄露波及 14 年版本(2026-10-21,3 条)
- 第 6 集:LLM 生成虚假 PHP 漏洞 PoC 引发安全圈恐慌(2026-10-21,2 条)
- 第 7 集:PHP 8.4.26 纯 HTTP 绕过 ASLR 实现 RCE 的复现项目开源(2026-10-21,2 条)
- 第 8 集:PHP 8.5.12 补丁被指不完整，php2shell 漏洞仍可触发(2026-10-22,2 条)
- 第 9 集:php2shell 漏洞以手绘漫画形式讲述 20 年溯源(2026-10-22,2 条)
- 第 10 集:PHP 双 RCE 零日紧急修复，ARTEX 攻防两端 AI 化(2026-10-22,20 条)
- 第 11 集:PHP2Shell 漏洞公开披露前 4 天已遭在野利用(2026-10-22,2 条)
- 第 12 集:php2shell 漏洞公开后攻击一夜破百万(2026-10-22,3 条)
- 第 13 集:Drupal/PHP 漏洞潮爆发 安整工程师全天救火加固客户站点(2026-10-22,2 条)
- 第 14 集:投资人 Deedy 警告 AI 让漏洞利用门槛大幅降低(2026-10-22,3 条)
一手来源
- OpenAI 用模型揪出 PHP 严重漏洞，波及全球约 70% 网站 — OpenAI ·
- PHP 曝两个未认证 RCE 严重漏洞，官方紧急发布补丁 — DanielLockyer ·
- PHP 爆两个未认证 RCE 严重漏洞，8.5.12 等四个修复版紧急发布 — cyber_forecast ·
- PHP 核心曝 CVSS 10.0 满分 RCE 漏洞,仅 PHP 8 获补丁 — cyb3rops · 2026-10-21
- PHP 核心现 CVSS 满分 RCE 漏洞，10 月 21 日发紧急补丁 — cyb3rops · 2026-10-21
- PHP 核心 RCE 漏洞 CVSS 10.0，eBPF 工具可提前监测利用行为 — cyb3rops · 2026-10-21
- PHP 预告 critical 安全更新：两个 CVSS 9.2 漏洞将于 10 月 21 日修复 — jedisct1 · 2026-10-21
- PHP 将披露两个 CVSS 9.2 关键漏洞，Laravel 全线紧急适配补丁 — taylorotwell · 2026-10-21
- 曝 PHP 远程漏洞波及 PHP 5,AI agent 抢在补丁前造攻击武器 — MarcJSchmidt · 2026-10-21
- PHP 两个「紧急」级漏洞引发关注，修复补丁深夜上线 — itmedia_news · 2026-10-21
- PHP 两个 RCE 漏洞信息泄露,官方紧急补丁明日发布,最高评 CVSS 10 — DynamicWebPaige · 2026-10-21
- PHP 曝两个新 CVE,维护者称“互联网 70% 今晚起火” — JiliJeanlouis · 2026-10-21
- 【源头】PHP 爆两个未认证 RCE 严重漏洞，8.5.12 等四个修复版紧急发布 — cyber_forecast · 2026-10-21
- PHP 关键 RCE 补丁前泄露，有人担忧波及开源 AI 监管 — basedjensen · 2026-10-21
- PHP 曝超级漏洞，安全圈称严重度可比 Log4Shell，PoC 视频里还有跳舞动漫妹 — basedjensen · 2026-10-21
- PHP 预告两个 CVSS 9.2 严重漏洞，Cloudflare 紧急上线 WAF 规则 — mitsuhiko · 2026-10-21
- 两个 PHP 核心 CVSS 9.2 漏洞今日紧急修复,或为未授权 RCE — Kyrannio · 2026-10-21
- 两个 CVSS 9.2 级 PHP 0-day 曝光，未升级站点数据库恐遭泄露 — seanwbren · 2026-10-21
- PHP 爆 CVSS 9.2 紧急漏洞，WordPress 站长被敦促连夜待命打补丁 — EthanJPerez · 2026-10-21
- PHP 爆 CVSS 9.2 极危漏洞,紧急补丁发布后 AI 辅助攻击或 15 分钟内到来 — EthanJPerez · 2026-10-21
- PHP 曝两处严重漏洞,安全团队急催 10 月 21 日前打补丁 — EthanJPerez · 2026-10-21
- Wiz 披露 PHP2Shell 漏洞链：WordPress 等 pre-auth RCE 实锤 — shirtamari · 2026-10-21
- php2shell：两个 PHP 远程漏洞的二十年考古式剖析 — moyix · 2026-10-21
- 【源头】OpenAI 用模型揪出 PHP 严重漏洞，波及全球约 70% 网站 — OpenAI · 2026-10-21
- OpenAI 模型助研究员发现 PHP 严重 RCE 漏洞，影响约 70% 网站 — moyix · 2026-10-21
- 安全研究员:开源模型刷榜不等于攻击力,PHP 漏洞实测大多失败 — banteg · 2026-10-21
- PHP 漏洞波及面广，开发者急告前创业公司排查服务器 — vista8 · 2026-10-21
- OpenAI 称 GPT-5.6 发现的 PHP 安全漏洞只是冰山一角，还有更多待公布 — Dan_Jeffries1 · 2026-10-21
- NSA 紧急警告：PHP 两个严重漏洞，建议尽快更新或下线 — seanmcdonaldxyz · 2026-10-21
- Wiz 借 Gemini 发现 PHP 史上最严重漏洞，波及全球七成网站 — ralucaadapopa · 2026-10-21
- 印度CA私钥弱到个位数"4",PHP重大漏洞由AI发现并遭提前公开 — 歸藏的AI工具箱 · 2026-10-21
- PHP 漏洞曝光引爆推友狂欢：「考古学家们早该被挖了」 — weskambale · 2026-10-21
- FBI 警报:PHP 爆两个 CVSS 9.2 级远程代码执行漏洞 — burny_tech · 2026-10-21
- PHP 爆 php2shell 严重漏洞,波及 PHP 5.4+ 全部网站 — 0xkarasy · 2026-10-21
- OpenAI 员工：我们参与发现了 PHP 漏洞，半年内大家会把它当网络安全公司 — paw_lean · 2026-10-21
- PHP 高危漏洞攻击已现，研究者称 Gemini 4 全程助力挖洞与补丁验证 — rseroter · 2026-10-21
- 数日内四起安全事件：LiteLLM 遭供应链攻击，AI 让黑客更快更廉价 — Yuchenj_UW · 2026-10-21
- 印度 CA 私钥 1 秒被破解+PHP 重大漏洞，日本首相发推催打补丁 — 赛博禅心 · 2026-10-21
- Wiz 用 Gemini 4 与 GPT-5.6 挖出 PHP 高危 RCE 漏洞链 — basedjensen · 2026-10-22
- AI 辅助 php2shell 攻击链波及 PHP 运行时，涉及 70% 网站防御 — VectorWireAI · 2026-10-22
另有 13 条近重复转述:_jaydeepkarale · cyb3rops · banteg · DanielLockyer · cyb3rops · jedisct1 · Polymarket · RSync25 · MickeySteamboat · Kyrannio · Kyrannio · MickeySteamboat · gabrielchua