未登录就能在受影响服务器上执行代码
2026年10月21日，OpenAI 公布：过去两个月，它牵头把维护者、研究人员和安全服务商拉到一起，处理 PHP 里的两个严重漏洞。PHP 是跑在服务器上的开源语言，用来生成网站和 Web 应用。修复和发版由 PHP 维护者主导。OpenAI、Wiz、Cloudflare 等负责研究、技术支持和协调，目的是在公开之前把防护准备好。
Wiz 独立发现并报告了这两个漏洞。Calif 用 GPT-5.6 Sol 发现了其中一个。计划网站 Patch the Planet 把近期这一对称为 php2shell，编号是 CVE-2026-109618 和 CVE-2026-109619，并写明未登录的攻击者可以在受影响服务器上执行代码。那样的话，页面可能被改，服务器上的应用和数据也可能被控制。OpenAI 的文章说有两个 PHP 漏洞，也给出了名为 php2shell-checker 的版本检查，但没有逐字写明这两个编号就是文中那两个漏洞。名称和数量对得上，对应关系还是计划网站的口径。
OpenAI 认为，按严重程度和 PHP 的使用范围，这是近年来影响最大的安全问题之一。这个判断没有附带部署规模，也没有独立的影响评估。同一篇文章还写到：能发现波及大量网站的漏洞的能力，也可能让攻击者更快做出攻击工具。
发现谁更早，只来自 OpenAI 自己的说法。据 OpenAI 所说，前沿 AI 比攻击者更早发现这些漏洞，维护者和安全服务商因此能在披露前准备修复和防护。这段时间有多长、攻击者何时知道这些漏洞、漏洞是否已经被利用，文章都没有写。
五个阶段：先修上游，再给准备时间
上游仓库里只改一个版本，旧版本、托管环境和防护规则仍然对不上。修复常常还要移植回仍在使用的旧版本，托管服务商要准备缓解措施，大量组织再更新自己的系统。OpenAI 用五个阶段安排谁在什么时候加入。这是提议中的流程，文章没有附上 PHP 这次逐项完成的记录。
临时防护可以降低风险，指导材料仍要写明它的局限和运维取舍。持久修复要有一条明确路径。
披露前请谁，由维护者决定
有些漏洞可以由研究人员和维护者一起查清，并写出修复方案。另一些会影响很多产品，分发方和服务商还需要时间准备更新和防护，协同范围就要扩大。OpenAI 补了一个条件：如果前沿能力并没有明显领先于已经普及的能力，这段准备时间会更紧。
谁可以提前知道这些漏洞，看三件事：组织是否负责保护自己的系统和客户，采取行动需要多久，以及能否妥善处理敏感信息。同类组织用同一标准。披露前具体邀请谁，由维护者决定。OpenAI 负责协助联络、处理信息共享协议，并协调各团队。
每个人拿到的信息只限于完成防护所需。它可以是带有失陷指标的网络日志，也可以是一段能够运行、用来证明漏洞存在的概念验证。细节有限时仍可能暴露漏洞，因此要同时权衡泄露风险和防护收益。
OpenAI 没有说明，PHP 这一次是否已经出现“已被利用”或“信息泄露”。下面这张图的四行来自 2026年10月21日公布的框架，不能当作这次事件的结案记录。
四个上游修复版写在检查仓库里
对使用 PHP 的组织，OpenAI 把当务之急写成部署修复程序。php2shell-checker 以 Codex 技能的形式提供。Codex 是 OpenAI 的编程助手。这项检查看的是网站对外公布的版本，判断它是否落在可能受影响的范围里。具体安装哪个包，仍要对照 PHP 官方说明，以及所在发行版或托管商的说明。
该仓库的 README 写明，对照的上游修复版本是 8.2.35、8.3.36、8.4.27 和 8.5.12，并注明这组版本来自 2026年10月21日的 PHP 公告。PHP 5.4 到 5.6、7.0 到 7.4、8.0 和 8.1，即使补丁号更高，例如 8.1.35，检查结果仍是“可能存在漏洞”。
检查只读响应头：先发 HEAD，只有返回 405 或 501 才改用 GET。它不跟随跳转，不查看响应正文，也不发送利用探测。
计划网站首页目前只列出 php2shell 这一对编号，以及未登录即可执行代码。版本表没有放在首页。“See latest patch”指向 php2shell.com，首页看不到那里的升级步骤。
紧急程度可以按 OpenAI 对 CISA 指令 BOD-26-04 的用法来排：看暴露程度、已有利用的情况和潜在影响，再决定马上打补丁、先做缓解措施，还是排进更新计划。需要时同时做初步取证，查看有没有被入侵的迹象。上面只是 OpenAI 对这项指令的用法，不能代替指令原文。情况变化后，优先级还要重估。
小团队拿到的是一周审查和有条件的模型使用权
许多开源项目由小团队维护。维护者要在日常开发之外分辨新报告和重复报告、评估影响，并在仍受支持的各个版本上测试修复。Trail of Bits 称，自己与开源社区合作已超过十年，并称任何人都能用前沿模型提交漏洞报告，维护者很难跟上报告量。
OpenAI 提供的支持包括资金、较强模型的访问权，以及直接的工程协助。入口有三条。Codex for OSS 面向所有维护者提供订阅。OpenAI 也直接赞助 Rust 基金会等项目，金额没有公布，各项目自己确定优先事项。开源项目还可以向 Patch the Planet 提交申请，申请页在 Trail of Bits 的计划页面。
Trail of Bits 称，Patch the Planet 是它与 OpenAI 的联合倡议，用来在漏洞研究加快的时期协助关键开源软件。入选维护者会得到一名 Trail of Bits 工程师整整一周的专职代码审查，范围集中在项目最重要的区域，并从 OpenAI 获得六个月 ChatGPT Pro。其中 Codex security 的访问附带条件，可用于编码、自动化和工作流。计划网站还写明：每项发现都由人复核，维护者继续控制自己的代码和发布；项目可以留下测试、模糊测试工具和安全工作流。合作方列表为 Trail of Bits、Calif、HackerOne。列表没有说明 HackerOne 的具体工作。
Daybreak 面向一线防御者。OpenAI 承诺提供价值 10 亿美元的使用补贴，优先提供给安全资源有限、同时承担关键服务防护的组织。计价方式、期限、申请资格和已经使用的金额都没有公布。目前能够确认的，是这笔 10 亿美元的名义金额。
OpenAI 也在为 Daybreak 增加分类器，用自动规则拦截可能的滥用。它承认，防止滥用的措施也可能挡住正当的安全工作。目标是限制有害用途，同时保留防御者发现和修复漏洞的能力，并按实际使用情况继续调整。分类器的具体规则没有公布。
1,995 个问题属于整项计划
Trail of Bits 的计划页面写明，正在审查 68 个代码库。页面上的问题计数属于整项计划，统计截止日期、严重级别分布和代码库名单都没有公布。
这组数字不能当作 PHP 两个漏洞的修复率。图上标在 1,995 旁边的 100%，不能理解成开源软件里的问题已经全部发现。
同一页面还有两段模型摘要，讲的是虚拟机逃逸和 zlib 模糊测试，不计入这对 PHP 漏洞。Trail of Bits 称，它要求 GPT-5.6-Cyber 逃出一台用来隔离智能体的虚拟机，该模型逃出了三次；最后一次，智能体自行发现三个此前没有公开补丁的漏洞，并把它们串成一个可用利用。环境、尝试总数、这三个漏洞的身份和修复状态，摘要都没有写。另一段称，GPT-5.5-Cyber 在一天内搭起专门针对 zlib 的模糊测试活动。页面称这类工作以往要熟练研究人员花数周。这里的一天，指的是搭起这套测试活动所用的时间。zlib 是否因此得到修复，摘要没有说。摘要只给了结果，没有描述过程。
GPT-5.6 Sol、GPT-5.6-Cyber 和 GPT-5.5-Cyber 是三个不同名称。页面没有说明它们的关系，不能把它们当成同一个已经在 PHP 上得到验证的模型。
四项反馈还没有标准答案
OpenAI 把更长期的方向写成四类机会：编写时就选用更安全的默认设置和安全库；把关键组件迁到内存安全的语言，并用测试和专家审查核对行为；用数学证明在明确假设下排除整类缺陷；把处理不可信文件、图像或媒体的程序放进更严格的沙箱。沙箱是权限很少的隔离环境，用来限制程序被攻破后的损害。这四项是后续机会，页面没有给出迁移时间表。
公开征求意见的部分还没有确定规则。披露窗口要多长；什么证据应该迫使提前公开，尤其是当一部分用户会更早得到保护时。有些系统的管理者是政府或其他运维方。他们拥有这些系统，或获授权管理这些系统，但管理员权限已经丢失。对这样的系统，是否应利用漏洞本身去打补丁；若可以，在什么情况和保障下进行。OpenAI 设想过一种最终形态：持续扫描互联网上的已知漏洞，通知网站所有者，或直接打补丁。这仍是设想，没有列为现行政策，也没有给出做法。
另外两项也还没有定论：哪些人必须提前知道才能完成防护，分阶段通知，是否比一次通知更多人更合适；上游修复尚未完成时，如何处理下游软件包，如何把修复移植回不再接收安全更新的旧版本，以及要做多少测试才把这种移植当作可靠选择。
OpenAI 还称，当前这对 PHP 漏洞只是已经发现并正在修复的多个重大漏洞的一部分，并预计未来几个月类似问题会大幅增加。“多个”没有给出数量。
使用 PHP 的组织可以部署维护者发布的修复。版本检查仓库把上游修复版写成 8.2.35、8.3.36、8.4.27 和 8.5.12；发行版回移后的包号可能不同，仍要按服务商的说明核对。开源维护者可以申请那一周审查和有条件的模型使用权，代码和发布权仍在自己手里。攻击是否已经发生、两个 CVE 是否就是文章里的两个漏洞、看板上的比例是否经过审计，这三件事都还不能当成结论。
