快速了解本文
OpenAI 协助发现 PHP 两项 9.2 分高危漏洞并协调修复。
漏洞细节提前外流迫使 PHP 官方将更新发布时间提前。
全球近六成对外 PHP 服务器运行已停止支持的旧版本。
运维人员应尽快将系统升级至指定的紧急修复版本。
本摘要由 AI 辅助整理，请以正文内容为准。
10 月 21 日，OpenAI 宣布通过“修补地球”（Patch the Planet）计划，协助安全研究人员发现了 PHP 编程语言中的两项严重漏洞，并联合多方在漏洞公开前完成了为期约两个月的协调修复。此次事件不仅展示了前沿 AI 模型在开源基础设施安全防御中的实质性贡献，也揭开了 AI 时代零日漏洞攻防的新序幕。
01AI 驱动漏洞发现与全球协同
在此次修复行动中，AI 力量发挥了关键作用。安全公司 Calif 借助 OpenAI 的 GPT-5.6 Sol 模型发现了其中一项关键缺陷，而谷歌旗下的 Wiz 则独立发现并报告了另一项漏洞。这标志着 AI 在网络安全中的角色正从被动防御转向主动发现与全球协同。不过，AI 在漏洞挖掘中的通用准确率及误报率仍需更多独立安全研究验证。
作为此次漏洞协调修复后的延伸安全倡议，OpenAI 同时宣布投入 10 亿美元，通过“Daybreak for Frontline Defenders”计划向安全资源有限的组织提供补贴，帮助其使用 AI 开展漏洞发现、系统监测和应急响应。
02零日危机与 EOL 基础设施困境
这两个漏洞编号分别为 CVE-2026-109618 和 CVE-2026-109619，存在于 PHP 的 session.upload_progress 模块，属于堆积释放后使用（UAF）漏洞。在 CVSS v4.0 体系中，两者均被评为 9.2 分，属于未经身份验证的远程代码执行（RCE）漏洞，影响 PHP 5 及以上版本。
危机在保密禁运期结束前爆发。由于 Hacker News 上的爆料贴文导致漏洞细节提前外流，PHP 官方被迫将原定 10 月 22 日的更新提前至 10 月 21 日 14:00 UTC 发布。Cloudflare 已观测到与此次漏洞相关的早期攻击迹象，并部署了适用于所有客户（包括免费方案）的初步 WAF 规则集。Cloudflare 警告，攻击者可能利用 AI 工具在补丁发布后 15 分钟内发动自动化攻击，表明安全攻防已进入“分钟级”对抗时代。
更严峻的是全球 Web 基础设施的历史债务。业界估计约 70% 的网站依赖 PHP 运行，而威胁情报平台 Mallory 扫描显示，全球约 59%（约 88.4 万部）对外 PHP 服务器仍在运行已停止支持（EOL）的旧版本（包括 PHP 8.1、8.0、7.x 及 5.x 系列），无法获得官方修补。针对无法立即升级至受支持版本的机构，欧盟计算机应急响应小组（CERT-EU）与澳大利亚网络安全中心（ACSC）警告，应将受影响的网站暂时下线。
03紧急修复版本指南
对于仍在支持周期内的系统，PHP 基金会已发布紧急修复版本。运维人员应尽快将系统升级至 PHP 8.5.12、8.4.27、8.3.36 或 8.2.35。目前仅 8.2 及以上版本可获得官方修补。