专题 · FULL STORY

OpenAI 模型挖出 PHP 高危漏洞风波

OpenAI 的 GPT-5.6 模型发现 PHP 两个可致未认证远程代码执行的严重漏洞，PHP 官方紧急发布安全更新，波及全球约七成网站。随后 POC 被证实可用、更多漏洞细节披露，研究者预言 LLM 大规模扫描代码库将挖出数十个新漏洞，OpenAI 也称这只是开始。

2026-10-21 ~ 2026-10-22 · 5 集 · 58 条

第 1 集 · PHP 爆 php2shell 双未认证 RCE 漏洞，OpenAI 模型参与发现(2026-10-21,49 条)

PHP 官方于 10 月 21 日 14:00 UTC 发布紧急安全更新，修复两个可导致未认证远程代码执行（RCE）的严重漏洞 CVE-2026-109618 与 CVE-2026-109619（代号 php2shell），修复版本为 8.5.12、8.4.27、8.3.36、8.2.35，所有处理 Web 请求的 PHP 部署均受影响。漏洞由 Calif.io、OpenAI、Wiz 与 Quarkslab 协同发现，OpenAI 宣布其模型在发现过程中发挥关键作用并推出「Patch the Planet」全球网络安全计划；FBI、NSA 等机构亦发出紧急通告。由于 PHP 驱动全球约 70% 的网站，本次事件被视为近年来影响面最大的开源安全事件之一。

已确认

  • PHP 官方安全通告确认两个漏洞可致未认证远程代码执行，影响 PHP-FPM、modphp、php-cgi、FrankenPHP、LiteSpeed 等所有处理 Web 请求的部署，其中 modphp 风险最高，已有演示 exploit 可在应用代码执行前被未认证请求触发（m3、m11、m14）。
  • 官方标注 CVSSv4 评分均为 9.2；安全研究者 cyb3rops 透露其中一个为 CVSS 10.0 满分的核心 RCE 漏洞（m11、m12）。
  • 漏洞影响范围方面，有披露称 php2shell 波及所有运行 PHP 5.4 及以上版本的网站（m20）。
  • 漏洞由 Calif.io、OpenAI、Wiz 与 Quarkslab 协同发现并披露；OpenAI 称其「Patch the Planet」计划中的研究人员借助 OpenAI 模型完成发现，过去两个月牵头维护者与安全厂商组成的联盟完成修复准备，因修复涉及 PHP 引擎重大改动而耗时（m1、m2、m19）。有转发帖称所用模型为 GPT-5.6。
  • 漏洞源自 PHP 本身而非插件，插件开发者无法代为修复，WordPress 等站点需直接升级 PHP；Laravel 创始人 Taylor Otwell 表示 Laravel 全线紧急适配补丁（m7、m9）。
  • FBI 通报两个 CVE 编号并建议无法立即升级的组织先下线系统；NSA 也发出立即生效的紧急建议，要求更新或在完全缓解前将系统下线（m13、m15）。
  • Cloudflare 已紧急上线 WAF 规则提供临时缓解（m16）。
  • 联合 write-up 以「时间之旅」叙事回溯漏洞根源，从 2004 年的代码演变讲起（m17）。

尚未确认

  • vxunderground 称该漏洞为「ultra mega」级、严重度可比 Log4Shell，属于部分安全研究者的类比评价，并非官方定级；相关概念验证视频已流出（m18）。
  • cyb3rops 称更旧版本（PHP 8 之前）预计不会收到补丁，与后续通告仅列四个 PHP 8.x 修复版本相符，但官方未明确说明旧版本处置方案（m12）。
  • m5 提到「AI 辅助攻击或在 15 分钟内到来」为日本安全圈的预警性推测，未见实际野外利用的确认。

为什么重要

  • PHP 驱动全球约 70% 的网站，漏洞利用门槛低、可自动化，且存在于语言核心而非插件层，修复责任落在服务器运维侧，WordPress 站长被敦促连夜待命打补丁。
  • 这是 AI 模型系统性参与开源关键基础设施漏洞挖掘的标志性案例，OpenAI 借此推出「Patch the Planet」计划，预示 AI 驱动安全研究的常态化。
  • 多国安全机构（FBI、NSA）罕见同时下场警告，Cloudflare 临时上线 WAF 规则，反映出事件潜在影响面之大。

还有 29 条相关讨论 →

第 2 集 · 研究者预测 LLM 扫 PHP 代码库或挖出数十个漏洞(2026-10-21,3 条)

安全研究者 moyix 预测，PHP 官方即将修复的漏洞公布后，大量研究者当晚把 LLM 对准 PHP 代码库，很可能找出除即将修复之外的几十个其他严重漏洞；他还押注最可能发现的是藏在「递归缩写处理代码」里的可利用栈溢出。开发者 MickeySteamboat 回应称，这正是他做 PHP WASM 沙箱防身的原因。

第 3 集 · PHP 远程代码执行 POC 被证实可用，利用仍有门槛(2026-10-21,2 条)

安全圈人士确认，已公开泄露的 PHP 远程代码执行（RCE）漏洞概念验证代码真实有效。不过利用并非「脚本指向网站就能拿下」那么简单，实际利用存在一定前置条件和门槛。但结合官方对该漏洞的高危定级，整体情况仍相当令人担忧，相关人员应尽快关注并修复相关漏洞。

第 4 集 · PHP session.upload_progress 前鉴权 RCE 漏洞 POC 提前公开(2026-10-21,2 条)

安全研究员 Qi Deng 发布 php2shell 研究项目，披露 PHP 核心 session.uploadprogress 处理器中两个 CVSS 高达 9.2 的前鉴权 RCE 漏洞。随后 POC 被提前公开，研究员 Kostastsale 警告仅靠缓解措施可能不足以抵挡攻击，建议对公网暴露的服务器尽快处理，PHP 8.2 以前版本需采取相应应急方案。

第 5 集 · OpenAI 称 PHP 漏洞发现仅是开始，圈内调侃「考古学家」末日(2026-10-21,2 条)

OpenAI 宣布其 GPT-5.6（Sol）模型发现了 PHP 的关键安全漏洞后，Andrew Curran 引述 OpenAI 说法称这批漏洞只是冰山一角，公司还有多项新发现待陆续公布。与此同时，开发者社区在推特上掀起「PHP 大崩盘」的狂欢式调侃，称那些维护 PHP 老代码的「考古学家」们早该经历这一天。