PHP Exposes Two High-Severity Vulnerabilities Rated 9.2; GPT-5.6 Sol Participated in Discovery

塌天大祸啊朋友们，最好的语言PHP暴雷了！

两个超高危漏洞刚刚被曝，危险评分都达到了9.2分的最高优先级范围。

最严重的情况下，攻击者无需登录即可在服务器上执行代码。从PHP 5.4开始的几乎所有版本都会受到影响（包括大量仍在使用的7.x和8.0/8.1）。

官方明确表示，没有完整的缓解措施，唯一安全的做法就是立即升级。

关键是，官方早就不支持PHP 8.1及更早版本了，想打补丁都没得打啊啊啊啊啊！

要知道全球七成网站背后都是PHP，路透社说荷兰、芬兰等地的一些政府网站已经提前下线，防一手可能到来的攻击。

日本那边也已经在连夜加班了……（霓虹的网站你懂的）

一片混乱之中，你猜怎么着？

嘿OpenAI它又双叒来了：

原来这俩被统称为PHP2Shell的漏洞，是GPT-5.6 Sol率先发现的。

OpenAI的原话是：

安全公司Calif使用GPT-5.6 Sol发现了PHP的关键漏洞。Wiz也独立发现了这两个漏洞并进行了报告。

并且后续补丁的更新上，OpenAI也起到了一个牵头的作用。

这帖子一发，大家伙的反应be like：

以及，给大家划个重点。OpenAI的公告里写到，这次PHP大暴雷，“只是我们已经发现并正在努力修复的众多重大漏洞中的一部分”。

OpenAI预计未来几个月内类似的漏洞数量将急剧增加。。。

GPT发现超级漏洞

细说这事儿前，还是给大家提个醒。

两个漏洞的编号分别是CVE-2026-109618和CVE-2026-109619。

CVE-2026-109618：通过内存溢出（OOM）导致内部数据结构不完整，请求清理时把无效数据当有效数据处理，可导致内存破坏和RCE（远程代码执行）。

CVE-2026-109619：请求相关的全局状态在内存释放后仍然残留，后续同一worker处理的请求会使用到已释放的内存（use-after-free），同样可导致RCE。

官方已经发布修复的版本包括：

PHP 8.5.12、PHP 8.4.27、PHP 8.3.36和PHP 8.2.35。

所有处理网页请求的PHP部署环境，包括PHP-FPM、搭载mod_php模块的Apache、php-cgi、FrankenPHP以及LiteSpeed，都面临风险。其中mod_php风险最高。

研究人员已经在部分WordPress、Drupal、Joomla部署上复现了未经登录的远程代码执行。

那GPT-5.6 Sol是怎么发现这俩漏洞的呢？

OpenAI在2026年6月推出了一项开源安全倡议，名叫“Patch the Planet（修复星球）”。

这个计划的核心目标就是用AI来帮助发现开源项目的漏洞，同时解决AI带来的新问题：模型能大量发现漏洞，但开源维护者人手严重不足，容易被海量报告淹没。所以AI不仅要找bug，还要debug。

安全公司Calif就是OpenAI的倡议合作伙伴之一。Calif也正是在Patch the Planet框架下，发现了这次PHP超级漏洞中的一个关键问题。

与此同时，另一家知名安全公司Wiz Research也独立发现并报告了相关漏洞。并且Wiz也在研究过程中用上了AI，包括Wiz Atlas、Gemini 4 Argon和GPT-5.6 Sol。其中Gemini 4 Argon在漏洞发现、漏洞利用开发、攻击检测和补丁验证方面发挥了“不可或缺的作用”。

于是在过去两个月中，OpenAI牵头协调，和PHP维护者、Wiz、Cloudflare等一起准备补丁和缓解措施，然后在刚刚公开并发布了修复版本。

（时间长主要是修复涉及PHP引擎底层，改动比较大。）

用OpenAI自己的话说，这一次，前沿AI是在攻击者之前，为维护者和安全厂商们打开了“防御者之窗”。

值得注意的是，OpenAI提醒，这次的漏洞影响重大，但还仅仅是个开始……

它们只是我们已经发现，并正在努力修复的众多重大漏洞中的一部分。我们未来几个月内类似的漏洞数量将急剧增加。

正如Wiz所说，AI降低了复杂漏洞的利用门槛，也能帮助防守方发现和修复漏洞。

完整漏洞报告，可以参见PHP公告和Wiz报告：

本文来自微信公众号“量子位”，作者：鱼羊，36氪经授权发布。