OpenAI报告PHP存在两个严重漏洞

OpenAI表示，Calif使用其GPT-5.6 Sol模型发现了Wiz研究人员独立发现的两项关键PHP漏洞中的一项。

CVE-2026-109618和CVE-2026-109619的补丁已于2026年10月21日发布。

FBI敦促机构立即更新受影响的PHP安装版本，并警告这些漏洞可能允许在PHP核心中远程执行代码。

据CZ称，漏洞细节被过早泄露，且披露后几乎立即确认出现了现实世界攻击中的利用行为。

OpenAI 报告称，其通过“Patch the Planet”计划发现并修复了两项关键PHP漏洞。这些漏洞的补丁于2026年10月21日发布；FBI警告称，它们可能使恶意行为者能够在PHP核心中远程执行代码，并可能危及敏感数据和网络。

这些漏洞编号为CVE-2026-109618和CVE-2026-109619，影响PHP——一种被广泛使用、为网站和Web应用提供支持的编程语言。OpenAI表示，Calif使用GPT-5.6 Sol模型发现了其中一项漏洞，而Wiz专家则独立发现了两项漏洞。

OpenAI称，PHP维护者主导了修补工作，OpenAI、Wiz和Cloudflare参与了贡献。

FBI和OpenAI敦促立即更新

FBI在一则10月21日的帖子中敦促机构立即更新受影响的PHP安装版本，并清点每一处运行PHP的位置，优先处理面向互联网的系统和捆绑该语言的供应商产品。如果无法立即更新，该机构建议在完成全面缓解措施前让受影响系统离线。

FBI还建议机构监控Web服务器是否出现可疑活动，包括PHP进程意外启动命令行Shell或下载文件。发现入侵迹象的机构应隔离受影响系统，保留Web服务器和PHP日志，并向当地FBI办事处或通过该机构的在线报告服务报告事件。

该机构指引各组织查阅PHP的公告、CERT-EU安全公告2026-018以及美国网络安全和基础设施安全局的已知已被利用漏洞目录，以获取最新信息。

OpenAI表示，安装补丁应是使用PHP的组织的首要任务。该公司还将PHP版本检查器作为Codex技能发布，以帮助管理员识别可能存在漏洞的版本，并确定所需安装的更新。

根据CZ的一则帖子，漏洞细节被过早泄露到网上，披露后几乎立即确认出现了现实世界攻击中的利用行为。CZ称，这些漏洞可能威胁运行WordPress和Magento等广泛使用平台的服务器。IT团队开始部署Web应用防火墙规则并安装更新，以保护系统。

OpenAI称，由于这些漏洞的严重性以及PHP的广泛使用，此案是近年来规模最大的安全事件之一。该公司表示，据其所知，先进AI模型在恶意行为者之前识别出这些漏洞，使开发者和安全供应商能够在公开披露前有时间准备补丁和缓解措施。

OpenAI还警告，攻击者可能利用同样的AI能力快速构建攻击工具和漏洞利用程序。

基于PHP的响应过程，OpenAI提出了处理广泛使用软件中关键漏洞的五阶段方法。第一阶段是让维护者、研究人员和技术合作伙伴共同确认漏洞、评估其影响、开发修复方案，并针对可能的绕过方式进行测试。

第二阶段是向需要准备时间的组织提前发出通知，使发行方能够为旧版本调整修复方案，并让服务提供商测试保护措施。第三阶段是与政府合作伙伴协调，由其向负责关键基础设施和基本服务的组织分发指导意见。

第四阶段涉及发行方、托管服务商、服务提供商和事件响应团队，为存在漏洞的产品准备更新。最后阶段包括发布更新说明、临时缓解措施和系统验证建议，并为部署提供支持。

OpenAI表示，如果存在活跃利用的迹象、发生数据泄露，或交付修复方案的延迟增加了用户风险，响应时间表应作出调整。

通过Patch the Planet，OpenAI还与政府网络安全机构合作，并协助协调保护脆弱系统的工作。该公司另行宣布，计划通过面向一线防御者的Daybreak计划提供10亿美元补贴访问额度，该计划面向保护基本服务但安全资源有限的组织。