OpenAI协助发现PHP两项高危漏洞，官方紧急发布修复版本

美国AI公司OpenAI披露，其参与的安全研究工作协助发现了开源编程语言PHP中的两项严重安全漏洞。这两项漏洞允许攻击者在特定条件下无需身份验证即可在受影响的服务器上执行代码。PHP项目已于2026年10月21日发布安全更新，修复了这两项最高评分达9.2的漏洞。

此次排查由OpenAI发起的开源软件安全项目Patch the Planet提供支持。据PHP基金会披露，安全公司Calif于2026年7月30日启动PHP安全审计，OpenAI、Wiz和Cloudflare提供技术与协调支持。两项漏洞编号为CVE-2026-109618和CVE-2026-109619，均涉及PHP底层的内存管理和错误处理机制。其中，第一项漏洞与内存耗尽引发的内存损坏有关，第二项涉及过期的全局状态与释放后使用问题。

值得注意的是，这些漏洞的根源可追溯至2024年的一次外部安全审计。当时一名PHP核心开发人员发现了与内存耗尽有关的异常迹象，但未能找到明确的远程代码执行方法。直到2026年8月11日，Calif研究人员报告了一条可实现远程代码执行的攻击路径，OpenAI也在同一天独立报告了相同根因。这一过程体现了AI模型在帮助研究人员从已知异常中挖掘潜在攻击路径方面的潜力。

OpenAI将这一阶段称为“防御者窗口期”，即维护者和安全服务商有机会先于攻击者发现问题、开发补丁并准备防护措施。然而，漏洞发现只是整个安全响应过程的一部分。PHP基金会指出，自2026年7月1日以来，团队已发布15个CVE编号的漏洞公告，同时处理了100多份最终被判定为无效、重复或无法复现的报告。随着AI辅助研究增多，安全团队需要投入更多精力筛选报告、复现问题和评估风险。

此次事件也暴露出开源软件安全维护中的现实压力。PHP被广泛用于政府服务、在线商店、银行和媒体网站等场景，但其底层安全工作仍依赖规模有限的核心开发者团队。即使AI能够更快发现漏洞，维护团队仍需要足够的工程资源完成修复、测试和版本发布，特别是在需要兼顾向后兼容性、运行性能及大量第三方扩展正常运行的情况下。