AI discovers PHP vulnerability that lay dormant for over a decade; NSA advises taking systems offline if they cannot be updated
English text is being prepared.
OpenAI and Google-owned Wiz disclosed that researchers used AI to discover a severe security vulnerability in the PHP core engine, involving memory leaks and unauthenticated remote code execution, with a maximum severity score of 9.2 and affected versions dating back to PHP 5.4. The NSA has issued an emergency advisory requiring relevant organizations to update as soon as possible, and advising that systems be temporarily taken offline if they cannot be updated immediately. The PHP Foundation has released PHP 8.5.12, 8.4.27, 8.3.36, and 8.2.35 to fix the vulnerability. The Wiz research used the Wiz Atlas security agent, Gemini 4 Argon, and GPT-5.6 Sol.
Why read this
SelectedAI score 77
The original text explains the affected version range, the fixed versions, and the NSA's remediation advice, so readers can use it to judge the update priority of their own PHP deployments.
Topics
Body
北京时间10月22日，OpenAI与谷歌旗下网络安全公司Wiz披露，研究人员借助AI发现了PHP中的严重安全漏洞。美国国家安全局（NSA）已发布紧急建议，要求相关机构尽快更新系统，如果无法立即更新，建议暂时下线系统，直至风险得到充分缓解。
PHP是一种广泛用于网站和网络应用的服务器端编程语言，WordPress、Drupal以及维基百科使用的MediaWiki等软件均依赖它。此次披露的问题位于PHP核心引擎，涉及内存泄露和未经身份验证的远程代码执行。攻击者成功利用后，可能控制受影响服务器，或读取密码、身份验证令牌及API密钥等敏感信息。
据Wiz介绍，相关问题被归入两个漏洞编号，最高严重程度评分为9.2分，受影响版本可追溯至PHP 5.4。漏洞能否被利用，与具体版本、配置和部署情况有关，不能将PHP的广泛使用直接等同于所有相关网站均可被攻破。
PHP基金会已宣布发布PHP 8.5.12、8.4.27、8.3.36及8.2.35，修复上述严重漏洞。这意味着，网站运营者可以根据所用版本分支选择相应安全更新，无须一律升级至8.5系列。
此次漏洞发现涉及多支使用AI的研究团队。OpenAI表示，安全公司Calif参与其“Patch the Planet”计划，使用GPT-5.6 Sol发现了一项关键漏洞；Wiz也独立发现并报告了两项漏洞。PHP维护者负责修复和发布，OpenAI、Wiz及其他合作方参与研究、补丁验证和防护协调。
Wiz披露，其研究使用了Wiz Atlas安全智能体、Gemini 4 Argon和GPT-5.6 Sol。研究人员指出，这类内存漏洞过去需要复杂的分析、测试和调试，针对不同服务器环境还要反复调整。AI降低了这些工作的难度，使长期存在、过去难以实际利用的问题变得更具攻击可行性。
OpenAI称，据其掌握的信息，研究人员在攻击者之前发现了这些漏洞，为维护者提前准备修复和防护措施争取了时间。不过，同样的AI能力也可能帮助攻击者更快开发利用工具。随着漏洞细节公开，网站运营者能否及时部署安全更新，成为接下来降低风险的关键。