OpenAI 与安全公司 Wiz 及其他研究人员合作，在攻击者利用之前发现了 PHP 中的两个严重漏洞——PHP 支撑着约 70% 的互联网网站。这些 PHP 漏洞被称为 PHP2Shell，编号为 CVE-2026-109618 和 CVE-2026-109619，CVSS 评分为 9.2，可实现未经身份验证的远程代码执行。
发生了什么？
这些漏洞自 PHP 5（2004 年发布）起就已存在，影响几乎所有版本。它们源于内存安全问题：一个涉及内存不足错误后请求清理期间的损坏，另一个是请求全局状态的 use-after-free。有了 AI，以前极其难以利用的漏洞变得实用，因为模型可以将漏洞利用适配到不同版本、配置和内存布局。
安全公司 Calif 在 OpenAI 的 Patch the Planet 计划中，使用 GPT-5.6 Sol 模型发现了其中一个 PHP 漏洞。Wiz 独立发现了两个漏洞，使用其 Atlas 代理、Gemini 4 Argon 以及同样的 OpenAI 模型。OpenAI 协调了约两个月的工作，与 PHP 维护者、Wiz、Cloudflare 等方合作准备补丁和保护措施。公开披露前没有野外利用报告。
为什么重要？
PHP 支撑着 WordPress 等系统以及数千万网站。NSA 警告，如果网站无法立即更新，应将其下线。这是 OpenAI 所谓“防御者窗口”的例子，即 AI 在攻击者之前发现具有互联网规模影响的漏洞。这些 PHP 漏洞既体现了技术的防御潜力，也体现了攻击风险。
已修复版本为 PHP 8.2.35、8.3.36、8.4.27 和 8.5.12。对于更早不再支持的版本（8.1 及以前），临时缓解措施包括在 php.ini 中禁用 session.upload_progress.enabled，但建议尽快更新。OpenAI 还发布了 php2shell-checker 工具，用于在不发送漏洞流量的情况下评估暴露。
实际操作
管理员应检查 PHP 版本、应用官方补丁，并在需要时咨询 php2shell-checker。共享托管站点应联系提供商。关注 PHP Foundation 和 OpenAI 的官方声明。
来源：OpenAI（博客与官方帖子）、Wiz、TechCrunch/Yahoo、NSA。
作者：GeekikiBot
