OpenAI GPT-5.6 Sol 揭示影响 70% 的网站的 PHP 严重漏洞

OpenAI 于 10 月 21 日宣布，使用其 AI 模型 GPT-5.6 Sol 开展研究的人员发现了 PHP 中的严重安全漏洞。PHP 是一种开源编程语言，据估计支撑着 70% 的互联网。此次发现是在 OpenAI 的“修补地球”网络安全倡议下取得的。来自加利福尼亚州网络安全公司 Calif 的研究人员于 8 月 11 日率先发现了一个可利用的漏洞。OpenAI 协调开展了为期两个月的工作，参与方包括研究人员、PHP 维护者、安全服务提供商和政府网络安全机构，以修复这些问题。该公司称，这项任务十分复杂，需要对 PHP 引擎进行重大更改。PHP 基金会于 10 月 21 日发布了修复版本。由于修复计划于 10 月 20 日提前泄露，原定于 10 月 22 日的协调发布提前进行。OpenAI 将此事件作为其“防御者窗口”概念的一个案例。该概念描述了这样一个关键时期：组织可以利用先进 AI 模型发现并修补网络安全防御中的漏洞，赶在同样的能力落入恶意行为者手中之前采取行动。

Calif 研究人员于 8 月 11 日使用 AI 工具发现可利用漏洞

应 PHP 基金会的请求，来自加利福尼亚州网络安全公司 Calif 的研究人员于 7 月 30 日开始使用 OpenAI 工具审查 PHP。Calif 是“修补地球”项目的创始合作伙伴。基金会自 2024 年起就已知晓这一根本缺陷，但一直无法找到利用方法或修复方案。Calif 研究员 Ryan A. 于 8 月 11 日率先发现了一个可利用漏洞，OpenAI 研究人员也在当天发现了该漏洞。此后，网络安全公司 Wiz 独立发现了另一个漏洞。OpenAI 表示，人类开发者和安全团队曾检查相关代码，却未能彻底解决这些漏洞，导致它们在被发现两年后仍然存在；而使用 AI 的研究人员在两周内就展示了如何实际利用这些漏洞。

PHP 基金会发布修复版本 8.2.35、8.3.36、8.4.27、8.5.12

PHP 基金会发布了修复版本 PHP 8.2.35、8.3.36、8.4.27 和 8.5.12，以修复这些漏洞。PHP 8.1 及更早版本将不会获得官方修复。此次协调发布原定于 10 月 22 日进行，但由于相关计划于 10 月 20 日提前泄露，发布提前至 10 月 21 日，引发公众强烈反弹。OpenAI 表示，所有使用 PHP 的网站现在都可以安全地升级到修复版本，以确保安全。

漏洞 CVE-2026-109618 和 CVE-2026-109619 涉及内存管理缺陷

这两个漏洞的编号为 CVE-2026-109618 和 CVE-2026-109619，涉及 PHP 在计算机内存管理和错误处理方面的缺陷。第一个漏洞会在 PHP 处理请求时耗尽已分配内存的情况下，留下不完整的内部数据；引擎之后可能会误将这些数据视为有效数据。第二个漏洞涉及一个相关问题：发生致命错误后，PHP 仍指向已经释放的内存，使后续请求能够访问或破坏该内存。在某些情况下，攻击者无需登录凭据即可远程利用这些漏洞，在受影响的服务器上执行恶意代码，并可能控制网站。研究人员还利用 AI 展示了这些漏洞可能泄露服务器内存中存储的敏感信息，包括密码、身份验证代币和 API 密钥。两个漏洞的严重性评分均为 9.2 分（满分 10 分）。这些漏洞存在于 PHP 的核心引擎中，因此即使网站的应用代码本身不存在安全漏洞，也可能受到影响。

OpenAI 在 Hugging Face 事件后提出“防御者窗口”概念

OpenAI 的模型攻破 Hugging Face 后，该公司提出了“防御者窗口”概念。该概念描述了一个关键而短暂的时期，在此期间，组织可以利用先进的前沿 AI 模型发现、修补并加强网络安全防御，赶在同样由 AI 驱动的攻击能力广泛落入恶意行为者手中之前采取行动。OpenAI 认为，鉴于 PHP 的普及程度，此次事件是 2026 年最重要的网络安全发现之一。该公司认为，强大的革命性技术不可避免地会被恶意行为者利用，因此，主动发现并解决所有可能被利用的漏洞是大家的共同责任。Anthropic 的 Claude Mythos 最近在每一种主流操作系统和每一种主流网络浏览器中都发现了数千个零日漏洞。

常见问题

OpenAI 于 10 月 21 日宣布了哪些有关 PHP 漏洞的消息？

OpenAI 于 10 月 21 日宣布，使用其 AI 模型 GPT-5.6 Sol 开展研究的人员在“修补地球”网络安全倡议下发现了 PHP 中的严重安全漏洞。PHP 是一种开源编程语言，据估计支撑着 70% 的互联网。

发现的 PHP 漏洞编号是什么？

这两个漏洞的编号为 CVE-2026-109618 和 CVE-2026-109619。两者都涉及 PHP 在计算机内存管理和错误处理方面的缺陷，严重性评分均为 9.2 分（满分 10 分）。

发布了哪些 PHP 版本来修复这些漏洞？

PHP 基金会于 10 月 21 日发布了修复版本 PHP 8.2.35、8.3.36、8.4.27 和 8.5.12，以修复这些漏洞。PHP 8.1 及更早版本将不会获得官方修复。