IT之家 10 月 22 日消息，OpenAI 公司昨日（10 月 21 日）发布博文，宣布通过其“修补地球”（Patch the Planet）计划，协助安全研究人员发现了 PHP 编程语言中的两项严重漏洞， 并联合 PHP 维护团队、安全公司、云服务商及多国网络安全机构，在漏洞公开前完成了为期约两个月的协调修复。 安全公司 Calif 借助 OpenAI 的 GPT-5.6 Sol 模型发现其中一项关键缺陷；谷歌旗下的 Wiz 则独立发现并报告了相关漏洞。PHP 官方维护者主导了漏洞验证、修复开发与版本发布，OpenAI、Wiz、Cloudflare 等则提供研究、技术支持和跨机构协调，以便在公开披露前完成防护准备。
OpenAI 称，这是前沿 AI 在攻击者之前发现高危漏洞的案例，为维护者和防御方争取到所谓“防御者之窗”。不过，公司也承认，同样的 AI 能力可能被攻击者用于更快开发攻击工具和漏洞利用程序，安全风险与防御价值并存。 IT之家此前报道，本次曝光的两项漏洞被统称为“PHP2Shell”， 编号分别为 CVE-2026-109618 和 CVE-2026-109619 ，CVSS v4.0 评分均为 9.2。 PHP 是支撑全球大量网站和 Web 应用的开源脚本语言，业界估计约 70% 的网站依赖其运行。 此次漏洞可能允许未经身份验证的攻击者远程执行代码，进而篡改网站内容、读取敏感数据或入侵服务器。
PHP 基金会已于 10 月 21 日发布紧急安全更新，修复版本包括 PHP 8.5.12、8.4.27、8.3.36 和 8.2.35。 为帮助运营方排查风险，OpenAI 已发布一个 PHP 版本检查工具，作为 Codex 技能供运维人员识别可能受影响的 PHP 版本，并结合官方升级指引确定适用的修复方案。 OpenAI 建议使用 PHP 的组织尽快应用补丁、检查系统暴露情况，并按 CISA 的风险优先级指引采取紧急修补、临时缓解或计划性升级。 OpenAI 同时宣布，将投入 10 亿美元 （IT之家注：现汇率约合 66.91 亿元人民币） ，通过“Daybreak for Frontline Defenders”向安全资源有限、负责关键服务的组织提供补贴访问，帮助其使用 AI 开展漏洞发现、系统监测和应急响应。
该公司还提出一套面向 AI 时代的漏洞响应框架，涵盖上游验证与修复、提前通知受影响机构、政府协作、跨产品更新准备以及补丁发布后的部署支持等五个阶段。 相关阅读： 《 为预防 PHP 安全漏洞，芬兰政府临时关闭部分网站 》 《 PHP 将推补丁修复两个 9.2 分漏洞，欧盟敦促无法及时修复的机构下线受影响网站 》 《 9.2 评分：PHP 拉响安全警报，今天将修复 2 个高危漏洞 》
