简介
10月21日，OpenAI发文披露：通过其"修补地球"（Patch the Planet）计划，协助安全研究人员发现PHP语言中的两个严重漏洞，并联合PHP维护团队、安全公司、云服务商与多国网络安全机构，在漏洞公开前完成了约两个月的协调修复。两个漏洞统称 PHP2Shell，编号 CVE-2026-109618 与 CVE-2026-109619，CVSS v4.0 评分均为 9.2。
PHP支撑着互联网上很大一部分网站，业界估计约70%的网站依赖它运行。这两个漏洞允许未授权攻击者远程执行代码，进而篡改内容、读取敏感数据或直接入侵服务器。
你需要立刻做的事
第一步：查版本
PHP基金会已于10月21日发布紧急安全更新，修复版本为：
- PHP 8.5.12
- PHP 8.4.27
- PHP 8.3.36
- PHP 8.2.35
在服务器上执行 php -v 或查看 phpinfo()，确认当前版本。低于上述对应版本的，一律视为存在风险。
第二步：用官方工具排查
OpenAI发布了一个PHP版本检查工具，以Codex技能的形式提供，帮助运维人员识别可能存在漏洞的PHP版本，并结合PHP官方及服务商的指引确定需要应用哪些更新，判断应紧急修补、临时缓解还是计划性升级。
第三步：升级并验证
- 先在测试环境升级验证，重点回归涉及文件上传、路由解析、反序列化、模板渲染的功能。
- 生产环境升级后确认
php -v输出与新版本一致（注意PHP-FPM需要重启）。 - 检查是否有多个PHP版本并存（宝塔、cPanel等多版本管理环境常见），每个版本都要升级。
- 升级后检查错误日志，确认没有因版本变更导致的致命错误。
详细分析：为什么这件事意义超出补丁本身
OpenAI称这是前沿AI在攻击者之前发现高危漏洞的范例，为维护者和防御方争取到了一个"防御者之窗"。具体是怎么发现的？安全公司Calif借助OpenAI的GPT-5.6 Sol模型发现了其中一个关键缺陷，谷歌旗下Wiz则独立发现并报告了相关漏洞。
但OpenAI同时也承认了硬币的另一面：同样的AI能力也能帮助攻击者更快开发攻击工具与漏洞利用程序。而且这并非孤例——OpenAI表示这些漏洞只是他们已经发现并正在修复的多个重大漏洞中的一部分，预计未来几个月类似发现会大幅增加。
为此OpenAI承诺通过"Daybreak for Frontline Defenders"计划，提供价值10亿美元的Daybreak使用补贴，重点支持安全资源有限、承担关键服务防护职责的组织。同时提出了一套五阶段的漏洞响应框架：验证并修复上游漏洞（含用前沿模型做对抗性测试寻找绕过补丁的方法）→ 给受影响组织留出行动时间 → 与政府伙伴协调保护关键系统 → 在受影响产品中准备更新 → 补丁可用后发布指引并支持部署。这次还联合了美国白宫"超级智能部队"、国家网络主任办公室（ONCD）、CISA以及国际伙伴。
对本站读者的具体建议
如果你在运维PHP站点（包括用WordPress、Typecho、各类CMS的站长），这件事的优先级应该排在所有其他任务之前：
- 不要等"计划维护窗口"。CVSS 9.2 + 七成网站覆盖率 + 可远程执行代码，这三个条件叠加意味着扫描器会在几小时内跟进。
- 升级完再做加固：WAF规则、禁用危险函数（如
eval、assert在业务允许范围内）、限制上传目录执行权限、开启open_basedir。Cloudflare等提供商已在披露前准备好WAF防护。 - 检查是否已被利用：查访问日志里异常的参数、WebShell特征文件（如近期被创建的非常规.php文件）、异常的外连请求。
- 备份先行：升级前做完整备份，包括数据库与配置文件。
一个更宏观的视角
这一事件与同期Claude Security持续扫描的更新形成了有趣的呼应：AI正在成为漏洞发现的主要生产力，而人类团队的工作重心从"找漏洞"转向"接住漏洞"。对安全从业者来说，未来几个月的补丁节奏只会更快，建立可重复的应急流程，比任何单点工具都重要。
总结
先把PHP升到8.5.12 / 8.4.27 / 8.3.36 / 8.2.35，再谈其他。这条建议在接下来一周内都有效。