PHP 紧急修复两个未认证 RCE 漏洞，OpenAI 称由其模型发现
PHP 于 10 月 21 日发布安全通告，披露两个可导致未认证远程代码执行（RCE）的严重漏洞（CVE-2026-109618、CVE-2026-109619，CVSS v4 评分 9.2），并随 8.5.12、8.4.27、8.3.36、8.2.35 四个版本紧急修复。OpenAI 宣布其「Patch the Planet」计划中的模型帮助研究人员发现了这些漏洞，FBI、NSA 相继发出紧急通告，建议无法立即升级的组织暂时下线系统。
已确认
- PHP 官方通告确认两个严重漏洞可致未认证 RCE，影响所有处理 Web 请求的部署（PHP-FPM、modphp、php-cgi、FrankenPHP、LiteSpeed），其中 modphp 风险最高——Daniel Lockyer 指出已有演示 exploit 可在应用代码执行前被未认证请求触发
- 修复版本为 PHP 8.5.12、8.4.27、8.3.36、8.2.35；补丁于日本时间 10 月 21 日深夜（UTC 14:00）发布，此前官方提前预告并呼吁用户准备升级，并称若细节提前泄露或出现野外利用可能提前发布
- OpenAI 宣布「Patch the Planet」计划研究人员借助其模型发现漏洞，过去两个月牵头维护者与安全厂商协调修复；Wiz 参与联合发现（moyix 转发的 php2shell 技术剖析采用「时间之旅」叙事，从 2004 年的代码历史追溯漏洞根源）
- Cloudflare 紧急上线 WAF 规则提供临时缓解；Laravel 创始人 Taylor Otwell 表示 Laravel 全线紧急适配补丁
- FBI 通报两个 CVE 编号并建议无法立即升级的组织先下线系统；NSA 发布紧急建议，要求尽快更新或下线
- 多方警告补丁发布后攻击者可能迅速利用：有安全账号预测 AI 辅助的自动化攻击或在补丁上线 15 分钟内出现；漏洞位于 PHP 引擎本体，插件开发者无法代为修复，WordPress 站长被敦促连夜待命打补丁；攻击后果被描述为获取服务器管理员权限、窃取整库数据并横向攻击其他系统
尚未确认
- cyb3rops 此前称存在一个 CVSS 10.0 满分 RCE 漏洞且仅 PHP 8 系列获补丁、旧版本不修复，与官方四版本修复范围表述不一致，未获官方通告直接印证
- vxunderground 爆料称该漏洞（php2shell）严重度可与 Log4Shell 相提并论，属安全研究者个人评估
- OpenAI 具体使用哪个模型（Kyrannio 转发称 GPT-5.6）未在 OpenAI 官方帖中确认；不同帖子对 PHP 网站份额的估计在约 70% 至 80% 之间不一
为什么重要
- PHP 驱动全球约 70%（部分说法为 80%）的网站，WordPress 等主流建站生态均基于其上，漏洞暴露面极大
- 这是 AI 模型系统性参与开源软件关键漏洞挖掘与修复的标志性案例，OpenAI 借此发起「Patch the Planet」全球网络安全倡议，意图用 AI 持续发现并修复开源漏洞
2026-10-21 ~ 2026-10-22 · 64 条相关
- 第 1 集:PHP 紧急修复两个未认证 RCE 漏洞，OpenAI 称由其模型发现(2026-10-21,64 条)
- 第 2 集:研究者预测 LLM 扫 PHP 代码库或挖出数十个漏洞(2026-10-21,3 条)
- 第 3 集:PHP 远程代码执行 POC 被证实可用，利用仍有门槛(2026-10-21,2 条)
- 第 4 集:PHP session.upload_progress 前鉴权 RCE 漏洞 POC 提前公开(2026-10-21,2 条)
- 第 5 集:PHP 8.5.12 补丁被指不完整，php2shell 漏洞仍可触发(2026-10-22,2 条)
一手来源
- OpenAI 用模型揪出 PHP 严重漏洞，波及全球约 70% 网站 — OpenAI ·
- PHP 爆两个未认证 RCE 关键漏洞，8.5.12 等四版本紧急修复 — cyb3rops ·
- PHP 曝两个未认证 RCE 严重漏洞，官方紧急发布补丁 — DanielLockyer ·
- PHP 核心曝 CVSS 10.0 满分 RCE 漏洞,仅 PHP 8 获补丁 — cyb3rops · 2026-10-21
- PHP 核心现 CVSS 满分 RCE 漏洞，10 月 21 日发紧急补丁 — cyb3rops · 2026-10-21
- PHP 核心 RCE 漏洞 CVSS 10.0，eBPF 工具可提前监测利用行为 — cyb3rops · 2026-10-21
- PHP 预告 critical 安全更新：两个 CVSS 9.2 漏洞将于 10 月 21 日修复 — jedisct1 · 2026-10-21
- PHP 将披露两个 CVSS 9.2 关键漏洞，Laravel 全线紧急适配补丁 — taylorotwell · 2026-10-21
- 曝 PHP 远程漏洞波及 PHP 5,AI agent 抢在补丁前造攻击武器 — MarcJSchmidt · 2026-10-21
- PHP 两个「紧急」级漏洞引发关注，修复补丁深夜上线 — itmedia_news · 2026-10-21
- PHP 两个 RCE 漏洞信息泄露,官方紧急补丁明日发布,最高评 CVSS 10 — DynamicWebPaige · 2026-10-21
- PHP 曝两个新 CVE,维护者称“互联网 70% 今晚起火” — JiliJeanlouis · 2026-10-21
- PHP 爆两个未认证 RCE 严重漏洞，8.5.12 等四个修复版紧急发布 — cyber_forecast · 2026-10-21
- PHP 关键 RCE 补丁前泄露，有人担忧波及开源 AI 监管 — basedjensen · 2026-10-21
- PHP 曝超级漏洞，安全圈称严重度可比 Log4Shell，PoC 视频里还有跳舞动漫妹 — basedjensen · 2026-10-21
- PHP 预告两个 CVSS 9.2 严重漏洞，Cloudflare 紧急上线 WAF 规则 — mitsuhiko · 2026-10-21
- 两个 PHP 核心 CVSS 9.2 漏洞今日紧急修复,或为未授权 RCE — Kyrannio · 2026-10-21
- 两个 CVSS 9.2 级 PHP 0-day 曝光，未升级站点数据库恐遭泄露 — seanwbren · 2026-10-21
- PHP 爆 CVSS 9.2 紧急漏洞，WordPress 站长被敦促连夜待命打补丁 — EthanJPerez · 2026-10-21
- PHP 爆 CVSS 9.2 极危漏洞,紧急补丁发布后 AI 辅助攻击或 15 分钟内到来 — EthanJPerez · 2026-10-21
- PHP 曝两处严重漏洞,安全团队急催 10 月 21 日前打补丁 — EthanJPerez · 2026-10-21
- Wiz 披露 PHP2Shell 漏洞链：WordPress 等 pre-auth RCE 实锤 — shirtamari · 2026-10-21
- php2shell：两个 PHP 远程漏洞的二十年考古式剖析 — moyix · 2026-10-21
- 【源头】OpenAI 用模型揪出 PHP 严重漏洞，波及全球约 70% 网站 — OpenAI · 2026-10-21
- OpenAI 模型助研究员发现 PHP 严重 RCE 漏洞，影响约 70% 网站 — moyix · 2026-10-21
- PHP 漏洞波及面广，开发者急告前创业公司排查服务器 — vista8 · 2026-10-21
- OpenAI 称 GPT-5.6 发现的 PHP 安全漏洞只是冰山一角，还有更多待公布 — Dan_Jeffries1 · 2026-10-21
- NSA 紧急警告：PHP 两个严重漏洞，建议尽快更新或下线 — seanmcdonaldxyz · 2026-10-21
- Wiz 借 Gemini 发现 PHP 史上最严重漏洞，波及全球七成网站 — ralucaadapopa · 2026-10-21
- 印度CA私钥弱到个位数"4",PHP重大漏洞由AI发现并遭提前公开 — 歸藏的AI工具箱 · 2026-10-21
- PHP 漏洞曝光引爆推友狂欢：「考古学家们早该被挖了」 — weskambale · 2026-10-21
- FBI 警报:PHP 爆两个 CVSS 9.2 级远程代码执行漏洞 — burny_tech · 2026-10-21
- PHP 爆 php2shell 严重漏洞,波及 PHP 5.4+ 全部网站 — 0xkarasy · 2026-10-21
- OpenAI 员工：我们参与发现了 PHP 漏洞，半年内大家会把它当网络安全公司 — paw_lean · 2026-10-21
- PHP 高危漏洞攻击已现，研究者称 Gemini 4 全程助力挖洞与补丁验证 — rseroter · 2026-10-21
- 印度 CA 私钥 1 秒被破解+PHP 重大漏洞，日本首相发推催打补丁 — 赛博禅心 · 2026-10-21
- Wiz 用 Gemini 4 与 GPT-5.6 挖出 PHP 高危 RCE 漏洞链 — basedjensen · 2026-10-22
- AI 辅助 php2shell 攻击链波及 PHP 运行时，涉及 70% 网站防御 — VectorWireAI · 2026-10-22
- Wiz 借 Gemini 与 GPT 一周攻破潜伏十年的 PHP 漏洞 — Haunting_Ganache_850 · 2026-10-22
另有 14 条近重复转述:_jaydeepkarale · cyb3rops · banteg · DanielLockyer · cyb3rops · jedisct1 · Polymarket · RSync25 · MickeySteamboat · Kyrannio · Kyrannio · MickeySteamboat · gabrielchua · _mbdr_