OpenAI于10月21日发布博文称，通过其“修补地球”（Patch the Planet）计划，协助安全研究人员发现PHP编程语言中的两项严重漏洞，并联合PHP维护团队、安全公司、云服务商及多国网络安全机构，在漏洞公开前完成了为期约两个月的协调修复。PHP基金会已于同日发布紧急安全更新。
两项漏洞被统称为“PHP2Shell”，编号分别为CVE-2026-109618和CVE-2026-109619，CVSS v4.0评分均为9.2。PHP是支撑全球大量网站和Web应用的开源脚本语言，业界估计约70％的网站依赖其运行。此次漏洞可能允许未经身份验证的攻击者远程执行代码，进而篡改网站内容、读取敏感数据或入侵服务器。
在漏洞发现环节，安全公司Calif借助OpenAI的GPT-5.6 Sol模型发现了其中一项关键缺陷，谷歌旗下的Wiz则独立发现并报告了相关漏洞。PHP官方维护者主导了漏洞验证、修复开发与版本发布，OpenAI、Wiz、Cloudflare等提供研究、技术支持和跨机构协调，以便在公开披露前完成防护准备。修复版本包括PHP 8.5.12、8.4.27、8.3.36和8.2.35。
OpenAI将此次行动定位为前沿AI在攻击者之前发现高危漏洞的案例，为维护者和防御方争取到所谓“防御者之窗”。公司同时承认，同样的AI能力可能被攻击者用于更快开发攻击工具和漏洞利用程序，安全风险与防御价值并存。为帮助运营方排查风险，OpenAI已发布一个PHP版本检查工具，作为Codex技能供运维人员识别可能受影响的PHP版本，并结合官方升级指引确定适用的修复方案。
OpenAI建议使用PHP的组织尽快应用补丁、检查系统暴露情况，并按CISA的风险优先级指引采取紧急修补、临时缓解或计划性升级。公司同时宣布，将投入10亿美元通过“Daybreak for Frontline Defenders”计划，向安全资源有限、负责关键服务的组织提供补贴访问，帮助其使用AI开展漏洞发现、系统监测和应急响应。
此外，OpenAI提出一套面向AI时代的漏洞响应框架，涵盖上游验证与修复、提前通知受影响机构、政府协作、跨产品更新准备以及补丁发布后的部署支持等五个阶段。该框架试图将AI驱动的漏洞发现纳入标准化流程，缩短从发现到修复的协调周期。
此次事件反映出AI在安全研究领域的双重角色正在成为行业现实议题。一方面，大模型能够加速高危漏洞的发现与验证，为开源维护者争取响应时间；另一方面，同等能力扩散至攻击方后，漏洞利用的开发门槛将同步降低。对依赖PHP运行的企业而言，尽快完成版本核查与补丁部署仍是当前的首要操作。
该文观点仅代表作者本人，企服科学平台仅提供信息存储空间服务。
