OpenAI 模型发现 PHP 严重漏洞，波及全球约七成网站

PHP 官方于 10 月 21 日 14:00 UTC 发布紧急安全更新，修复两个可导致未认证远程代码执行（RCE）的严重漏洞 CVE-2026-109618 与 CVE-2026-109619（代号 php2shell），修复版本为 8.5.12、8.4.27、8.3.36、8.2.35，所有处理 Web 请求的 PHP 部署均受影响。OpenAI 宣布其模型在发现过程中发挥关键作用，并推出「Patch the Planet」全球网络安全计划；FBI、NSA 等机构亦发出紧急通告。由于 PHP 驱动全球约 70% 的网站，本次事件被视为近年来影响面最大的开源安全事件之一。已确认

• PHP 官方安全通告确认两个漏洞可致未认证远程代码执行，影响 PHP-FPM、modphp、php-cgi、FrankenPHP、LiteSpeed 等所有处理 Web 请求的部署，其中 modphp 风险最高，已有演示 exploit 可在应用代码执行前被未认证请求触发（m2、m13）。
• 官方标注 CVSSv4 评分均为 9.2；安全研究者 cyb3rops 透露其中一个为 CVSS 10.0 满分的核心 RCE 漏洞（m11、m20）。
• 漏洞由 Calif.io、OpenAI、Wiz 与 Quarkslab 协同发现并披露；OpenAI 称其「Patch the Planet」计划中的研究人员借助 OpenAI 模型完成发现，过去两个月牵头维护者与安全厂商组成的联盟完成修复准备（m1、m16、m18、m19）。
• 漏洞源自 PHP 本身而非插件，插件开发者无法代为修复，WordPress 等站点需直接升级 PHP（m6）。
• FBI 通报两个 CVE 编号并建议无法立即升级的组织先下线系统；NSA 也发出立即生效的紧急建议，要求更新或在完全缓解前将系统下线（m12、m14）。
• Cloudflare 已紧急上线 WAF 规则提供临时缓解（m15）。
• m16 提到的联合 write-up 以「时间之旅」叙事回溯漏洞根源，从 2004 年的代码演变讲起。尚未确认
• vxunderground 称该漏洞为「ultra mega」级、严重度可比 Log4Shell，属于部分安全研究者的类比评价，并非官方定级（m17）。
• m11 称更旧版本（PHP 8 之前）预计不会收到补丁，与后续通告仅列四个 PHP 8.x 修复版本相符，但官方未明确说明旧版本处置方案。
• m4 提到「AI 辅助攻击或在 15 分钟内到来」为日本安全圈的预警性推测，未见实际野外利用的确认。为什么重要
• PHP 驱动全球约 70% 的网站，漏洞利用门槛低、可自动化，且存在于语言核心而非插件层，修复责任落在服务器运维侧，WordPress 站长被敦促连夜待命打补丁。
• 这是 AI 模型系统性参与开源关键基础设施漏洞挖掘的标志性案例，OpenAI 借此推出「Patch the Planet」计划，预示 AI 驱动安全研究的常态化。
• 多国安全机构（FBI、NSA）罕见同时下场警告，Cloudflare 临时上线 WAF 规则，反映出事件潜在影响面之大。

2026-10-21 ~ 2026-10-22 · 47 条相关

事件全程(共 5 集)→

• 第 1 集:OpenAI 模型发现 PHP 严重漏洞，波及全球约七成网站(2026-10-21,47 条)
• 第 2 集:研究者预测 LLM 扫 PHP 代码库或挖出数十个漏洞(2026-10-21,3 条)
• 第 3 集:PHP 远程代码执行 POC 被证实可用，利用仍有门槛(2026-10-21,2 条)
• 第 4 集:PHP session.upload_progress 前鉴权 RCE 漏洞 POC 提前公开(2026-10-21,2 条)
• 第 5 集:OpenAI 称 PHP 漏洞发现仅是开始，圈内调侃「考古学家」末日(2026-10-21,2 条)

• PHP 核心曝 CVSS 10.0 满分 RCE 漏洞,仅 PHP 8 获补丁 — cyb3rops · 2026-10-21
• PHP 核心现 CVSS 满分 RCE 漏洞，10 月 21 日发紧急补丁 — cyb3rops · 2026-10-21
• PHP 核心 RCE 漏洞 CVSS 10.0，eBPF 工具可提前监测利用行为 — cyb3rops · 2026-10-21
• PHP 预告 critical 安全更新：两个 CVSS 9.2 漏洞将于 10 月 21 日修复 — jedisct1 · 2026-10-21
• PHP 将披露两个 CVSS 9.2 关键漏洞，Laravel 全线紧急适配补丁 — taylorotwell · 2026-10-21
• 曝 PHP 远程漏洞波及 PHP 5,AI agent 抢在补丁前造攻击武器 — MarcJSchmidt · 2026-10-21
• PHP 两个「紧急」级漏洞引发关注，修复补丁深夜上线 — itmedia_news · 2026-10-21
• PHP 两个 RCE 漏洞信息泄露,官方紧急补丁明日发布,最高评 CVSS 10 — DynamicWebPaige · 2026-10-21
• PHP 曝两个新 CVE,维护者称“互联网 70% 今晚起火” — JiliJeanlouis · 2026-10-21
• 【源头】PHP 爆两个未认证 RCE 严重漏洞，8.5.12 等四个修复版紧急发布 — cyber_forecast · 2026-10-21
• PHP 关键 RCE 补丁前泄露，有人担忧波及开源 AI 监管 — basedjensen · 2026-10-21
• PHP 曝超级漏洞，安全圈称严重度可比 Log4Shell，PoC 视频里还有跳舞动漫妹 — basedjensen · 2026-10-21
• PHP 预告两个 CVSS 9.2 严重漏洞，Cloudflare 紧急上线 WAF 规则 — mitsuhiko · 2026-10-21
• 两个 PHP 核心 CVSS 9.2 漏洞今日紧急修复,或为未授权 RCE — Kyrannio · 2026-10-21
• 两个 CVSS 9.2 级 PHP 0-day 曝光，未升级站点数据库恐遭泄露 — seanwbren · 2026-10-21
• PHP 爆 CVSS 9.2 紧急漏洞，WordPress 站长被敦促连夜待命打补丁 — EthanJPerez · 2026-10-21
• PHP 爆 CVSS 9.2 极危漏洞,紧急补丁发布后 AI 辅助攻击或 15 分钟内到来 — EthanJPerez · 2026-10-21
• PHP 曝两处严重漏洞,安全团队急催 10 月 21 日前打补丁 — EthanJPerez · 2026-10-21
• Wiz 披露 PHP2Shell 漏洞链：WordPress 等 pre-auth RCE 实锤 — shirtamari · 2026-10-21
• php2shell：两个 PHP 远程漏洞的二十年考古式剖析 — moyix · 2026-10-21
• 【源头】OpenAI 用模型揪出 PHP 严重漏洞，波及全球约 70% 网站 — OpenAI · 2026-10-21
• OpenAI 模型助研究员发现 PHP 严重 RCE 漏洞，影响约 70% 网站 — moyix · 2026-10-21
• PHP 漏洞波及面广，开发者急告前创业公司排查服务器 — vista8 · 2026-10-21
• NSA 紧急警告：PHP 两个严重漏洞，建议尽快更新或下线 — seanmcdonaldxyz · 2026-10-21
• Wiz 借 Gemini 发现 PHP 史上最严重漏洞，波及全球七成网站 — ralucaadapopa · 2026-10-21
• FBI 警报:PHP 爆两个 CVSS 9.2 级远程代码执行漏洞 — burny_tech · 2026-10-21
• PHP 爆 php2shell 严重漏洞,波及 PHP 5.4+ 全部网站 — 0xkarasy · 2026-10-21
• OpenAI 员工：我们参与发现了 PHP 漏洞，半年内大家会把它当网络安全公司 — paw_lean · 2026-10-21
• PHP 高危漏洞攻击已现，研究者称 Gemini 4 全程助力挖洞与补丁验证 — rseroter · 2026-10-21
• Wiz 用 Gemini 4 与 GPT-5.6 挖出 PHP 高危 RCE 漏洞链 — basedjensen · 2026-10-22
• Wiz 借 Gemini 与 GPT 一周攻破潜伏十年的 PHP 漏洞 — Haunting_Ganache_850 · 2026-10-22

另有 16 条近重复转述:_jaydeepkarale · cyb3rops · banteg · DanielLockyer · cyb3rops · jedisct1 · Polymarket · RSync25 · MickeySteamboat · Kyrannio · Kyrannio · MickeySteamboat · gabrielchua · _mbdr_ · OpenAI · FlorianGallwitz