北京
一个存在了两年的漏洞，人类开发者看过代码却没能完全解决，AI介入后两周内就做出了可用的攻击验证。这件事发生在PHP身上——一个据估计支撑着70%互联网站点的开源编程语言。
OpenAI在10月21日的新闻稿中称，其“Patch the Planet”网络安全计划下的研究人员，使用AI模型GPT-5.6 Sol发现了PHP中的严重安全漏洞。发现之后，公司协调了研究人员、PHP维护者、安全厂商和政府网络安全机构组成的联盟，用两个月时间完成修复。OpenAI将这段较长的时间线归因于任务复杂度——修复需要对PHP引擎做出重大改动。
PHP基金会已发布修复版本：PHP 8.2.35、8.3.36、8.4.27和8.5.12。PHP 8.1及更早版本不会获得官方修复。协调发布原定10月22日，因10月20日出现提前披露并引发公众不满，被提前到10月21日。
OpenAI表示，所有使用PHP的站点现在都可以安全升级版本以保持安全。考虑到PHP的普及程度，公司认为这是2026年最大的网络安全发现之一，并将其作为“Defender's Window”（防御者窗口）概念的实例。这一概念在OpenAI的模型攻破Hugging Face之后提出，描述的是一个关键而狭窄的时间窗口：组织可以在此期间利用先进的前沿AI模型发现、修补并强化自身网络安全防御，赶在同样的AI驱动攻击能力被恶意行为者广泛掌握之前。
作为Patch the Planet计划的一部分，加州网络安全公司Calif的研究人员应PHP基金会请求，于2026年7月30日开始用OpenAI工具审计PHP。这家公司是该计划的创始合作伙伴。基金会自2024年起就知道这个底层缺陷，但无法找到利用方法，也无法修复。Calif研究员Ryan A.在8月11日首次确认了可利用的漏洞，OpenAI研究人员同日跟进。随后，另一家安全公司Wiz独立发现了另一个漏洞。
两个漏洞编号为CVE-2026-109618和CVE-2026-109619，分别涉及PHP管理计算机内存和处理错误的方式。第一个漏洞发生在PHP处理请求时耗尽已分配内存的情况下，可能留下不完整的内部数据，引擎之后可能误将其视为有效数据。第二个是相关问题：致命错误导致PHP指向已被释放的内存，使后续请求能够访问或破坏它。在某些条件下，攻击者可以远程利用这些弱点——无需登录凭证——在受影响服务器上执行恶意代码，进而可能控制网站。
研究人员还用AI演示了这些漏洞可能暴露服务器内存中存储的敏感信息，包括密码、认证令牌和API密钥。更令人担忧的是，漏洞存在于PHP核心引擎中，这意味着即使网站的应用代码没有安全缺陷，也可能受到影响。两个漏洞的严重性评分均为9.2分（满分10分）。
OpenAI称，人类开发者和安全团队检查过底层代码，但未能完全解决缺陷，使其在发现后持续了两年。而借助AI的研究人员在两周内就演示了实际利用方式。反过来也可以说，没有AI，这些漏洞或许永远不会变得可利用，因而实际上无害。
OpenAI用Defender's Window概念回应这一观点。公司认为，强大的革命性技术终将被恶意行为者使用，因此主动处理任何潜在可利用缺陷是一种集体责任。Anthropic的Claude Mythos最近在“每一个主流操作系统和每一个主流网络浏览器”中识别出了“数千个零日漏洞”。
特别声明：以上内容(如有图片或视频亦包括在内)为自媒体平台“网易号”用户上传并发布，本平台仅提供信息存储服务。
Notice: The content above (including the pictures and videos if any) is uploaded and posted by a user of NetEase Hao, which is a social media platform and only provides information storage services.
