PHP修复两项远程执行漏洞，附版本排查工具

PHP 的两项高危漏洞已经有了补丁，但这条新闻最容易被读错的，是标题里的「约 70%」：它指的是 PHP 的网站使用规模，不能直接当成此次漏洞的受影响比例。运营方首先要确认自己的版本和部署情况。

另一条值得关注的线索是 AI 如何参与漏洞修复。按原文描述，GPT-5.6 Sol 帮助研究人员发现缺陷，PHP 维护者负责验证和修复，多方再用约两个月完成披露前的协调。它展示了 AI 辅助防御的一次案例，也留下了效率、覆盖范围和攻击风险上的问号。

两个 9.2 分漏洞，先看自己的 PHP 版本

这两项漏洞统称为 PHP2Shell，编号分别是 CVE-2026-109618 和 CVE-2026-109619，CVSS v4.0 评分均为 9.2。原文称，它们可能让未经身份验证的攻击者远程执行代码，进一步篡改网站、读取敏感数据或入侵服务器。

远程执行代码，就是攻击者可能让服务器运行其提供的指令。对运营方来说，风险不只在网页内容，还可能延伸到服务器里的数据和权限。

PHP 基金会于 10 月 21 日发布紧急安全更新，修复版本包括：

• PHP 8.5.12。
• PHP 8.4.27。
• PHP 8.3.36。
• PHP 8.2.35。

约 70% 的网站依赖 PHP，不等于约 70% 的网站都能被此次漏洞攻破。

原文没有列出完整受影响版本范围、触发条件和部署限制，不能仅凭技术栈名称判断是否中招。它也没有交代其他版本分支该如何处理，需要结合官方升级指引确认。

OpenAI 已发布一个作为 Codex 技能提供的 PHP 版本检查工具，用于识别可能受影响的版本。原文没有给出技能名称、调用命令或检查范围，因此不能把它理解成能够确认漏洞是否可利用的完整扫描器。

AI 找到缺陷之后，谁把补丁送到线上

这次协作里，各方承担的工作不同。

安全公司 Calif 借助 GPT-5.6 Sol 发现了其中一项关键缺陷；Wiz 则独立发现并报告了相关漏洞。PHP 官方维护者主导漏洞验证、修复开发和版本发布，OpenAI、Wiz、Cloudflare 等提供研究、技术支持和跨机构协调。

因此，把它概括成「OpenAI 修好了 PHP」并不准确。AI 参与了发现环节，维护者和其他防御方完成了后续工作。

OpenAI 将这次行动归入 Patch the Planet 计划，并称它为防御方争取到了「防御者之窗」：在漏洞公开、攻击者更容易获得信息之前，让维护者和运营方提前准备补丁与防护。

这个窗口要靠协调才能发挥作用。原文提到的响应框架包含五个阶段：上游验证与修复、提前通知受影响机构、政府协作、跨产品更新准备，以及补丁发布后的部署支持。补丁发布只是其中一步，最终还得有人把它部署到实际系统。

OpenAI 同时宣布投入 10 亿美元，原文折合约 66.91 亿元人民币，通过 Daybreak for Frontline Defenders，为安全资源有限、负责关键服务的组织提供补贴访问，支持漏洞发现、系统监测和应急响应。原文没有说明申请条件、具体额度和落地效果，目前应把它看作投入承诺。

我的判断

我认同这条新闻对协作流程的强调。发现高危缺陷很重要，但如果验证、通知和升级跟不上，提前发现所创造的时间优势就可能被消耗掉。一般团队更值得借鉴的是资产排查和补丁交付流程。

不过，这是一例 AI 辅助发现漏洞的案例，还不足以证明 AI 普遍优于传统安全研究方法。

原文没有给出模型投入、人工参与量、误报情况，也没有与人工审计或现有自动化检测工具做对照。能确认的是 Calif 借助模型发现了一项关键缺陷；「更快、更便宜、覆盖更广」都缺少数据支撑。

OpenAI 也承认，同样的能力可能帮助攻击者更快开发攻击工具。因此，不能从单次防御成果推出 AI 会单方面改善安全局面。对普通团队，AI 检查可以成为辅助入口，官方公告、版本核验和实际升级仍然要落实。

能拿来做什么

• 如果前端项目背后接着 PHP 服务或 CMS，把它们纳入此次排查，确认运行版本和负责人；不要只看前端仓库里的依赖。
• 如果负责 PHP 服务，先对照官方指引确认受影响情况，再选择对应分支的修复版本，并检查系统暴露情况。原文建议按 CISA 风险优先级安排紧急修补、临时缓解或计划性升级。
• 如果使用 Codex 辅助排查，把版本检查结果作为线索，再核对真实部署环境；工具识别出版本，并不代表已经完成升级或消除风险。
• 给团队的漏洞处理流程补上「部署后确认」：记录哪些实例完成更新、哪些仍待处理，让补丁发布真正转化为线上修复。