AI 揪出 PHP 致命漏洞，全球七成网站紧急停服

据 Woofun AI 消息， 主导的安全研究项目识别出 语言中的关键缺陷，将其定性为近年来影响力最大的安全漏洞之一。这一由 GPT-5.6 Sol 模型发现的隐患，直接威胁到全球绝大多数互联网服务的底层稳定性，迫使整个行业进入紧急响应状态。事件不仅暴露了开源基础设施的脆弱性，更标志着人工智能在网络安全攻防领域的应用已进入实战深水区，其破坏力与修复难度均超出传统预期。

此次漏洞的修复行动伴随着极高的严重程度量化评估。在过去两个月里，由 OpenAI 牵头组建的联盟致力于解决这一危机，而 PHP 作为驱动全球约 70% 网站、无数企业内部系统及政府门户的核心语言，其潜在影响范围之广实属罕见。10 月 21 日，PHP 官方紧急发布了 8.5.12、8.4.27、8.3.36 和 8.2.35 四个安全更新版本，旨在修复两个允许未经认证的远程代码执行（RCE）的严重漏洞。这两个漏洞被安全社区统称为"PHP2Shell"，其危险程度在 CVSS v4.0 评分体系中达到 9.2 分（满分 10），而安全公司 watchTowr 更是将其评为 10.0 满分。

Woofun AI 整理数据显示，这种极端的评分反映了漏洞利用的便捷性与后果的毁灭性，PHP 基金会随后发布了详细的技术说明与缓解指南，强调更新是唯一安全的选项。

漏洞的发现过程揭示了双团队独立作业与 AI 工具组合的威力。2026 年 8 月，OpenAI 内部安全研究团队 Calif 在 ""（修复地球） 计划框架下，使用 GPT-5.6 Sol 对 PHP 代码库进行了深度安全审计，从而发现了这两个隐藏极深的漏洞。几乎在同一时间， 旗下的云安全公司 也通过独立路径发现了同样的问题。Wiz 方面采用的技术栈更为复杂，结合了自家安全 AI 智能体 Wiz Atlas、Gemini 4 Argon 以及 GPT-5.6 Sol 的组合进行交叉验证。两个独立团队、两条独立的研究路径、两套截然不同的 AI 工具链，最终指向了同一个深埋在 PHP 核心引擎中的缺陷。

这种多点一致性的发现，极大地增强了漏洞真实性的可信度，也证明了前沿 AI 在代码审计方面的卓越能力。

OpenAI 在博客中提出了一个关键概念：Defender's Window（防御者窗口），并借此介绍了"Patch the Planet"计划的详情。该计划于 2026 年 6 月在旗下安全平台 下正式推出，旨在帮助开源软件维护者加强关键基础设施的安全性。OpenAI 与知名安全审计公司 合作，由 负责漏洞分类和协调披露，Calif 团队执行漏洞发现，而 AI 辅助分析和补丁开发则依托 工具链。

首批参与的项目包括 cURL、NATS Server、pyca/cryptography、Sigstore、aiohttp、Go、freenginx、Python 等，覆盖网络、密码学、软件供应链和语言基础设施等多个领域。Trail of Bits 的安全工程师全职使用 Codex 和 GPT-5.5-Cyber，跨 19 个开源项目已识别数百个安全问题，并合并了数十个补丁。

这一机制的核心在于，前沿 AI 在攻击者之前发现漏洞，为维护者和安全供应商争取到了修复和部署防护的时间窗口，标志着 AI 能够发现具有互联网级影响的安全漏洞的新阶段。