OpenAI 称 GPT-5.6 Sol 协助发现影响全球约 70% 网站的关键 PHP 漏洞
OpenAI 于 10 月发布新闻稿宣布，其人工智能模型 GPT-5.6 Sol 在 PHP 编程语言中发现了关键安全漏洞。鉴于估计有 70% 的互联网基础设施运行在 PHP 之上，这一发现被视为 2026 年最重要的网络安全事件之一。
OpenAI 表示，在漏洞发现后，公司协调了研究人员、PHP 维护者、安全提供商以及政府网络安全机构组成的联盟进行应对。由于修复工作需要 PHP 引擎进行重大更改，任务复杂性导致处理周期较长。
- 人工智能数据中心正在吞噬世界内存和存储供应
- 数据中心 CPU 需求激增，人工智能代理为主要驱动力
- 随着 Nexperia 和 DRAM 危机恶化，芯片短缺冲击汽车行业
- 定制 AI ASIC 的现状分析
针对此次发现的漏洞，PHP 基金会已发布修补版本，包括 PHP 8.2.35、8.3.36、8.4.27 和 8.5.12。原本计划于 10 月份发布的修复补丁提前至 10 月 22 日推出。然而，由于 OpenAI 在 10 月 21 日提前披露了相关信息，引发了公众的强烈抗议。目前所有使用 PHP 的网站均可通过升级至上述版本来确保安全性。
OpenAI 将此事件与“拥抱脸”（Hugging Face）概念后的新策略联系起来，描述了利用先进前沿人工智能模型寻找并修补漏洞的关键时间窗口。该策略旨在恶意威胁行为者广泛采用类似 AI 驱动的攻击能力之前，加强防御体系。
作为“修补地球”计划的一部分，加利福尼亚州的网络安全公司和该计划的创始合伙人 Calif 的研究人员应 PHP 基金会要求，于 2026 年 7 月 30 日开始使用 OpenAI 工具对 PHP 代码进行审计。尽管基金会自 2024 年起已知晓潜在漏洞的存在，但此前无法确定具体的利用方法或修复方案。
美国加利福尼亚州研究员 Ryan A. 首先在 8 月发现了可利用的漏洞，随后 OpenAI 的研究人员介入，另一家网络安全公司 Wiz 也独立发现了另一个相关漏洞。这两个漏洞被追踪为 CVE-2026-109618 和 CVE-2026-109619，涉及 PHP 在管理计算机内存和处理错误时的缺陷。
CVE-2026-109618 发生在 PHP 处理请求时耗尽分配内存的情况下，可能留下不完整的内部数据，引擎后续可能错误地将其视为有效。CVE-2026-109619 则涉及一个相关问题，即致命错误导致 PHP 指向已释放的内存，允许后续请求访问或损坏该内存区域。在某些条件下，攻击者无需登录凭据即可远程利用这些弱点，在受影响的服务器上执行恶意代码并可能控制网站。
研究人员还证实，这些漏洞可暴露存储在服务器内存中的敏感信息，包括密码、认证代币和 API 密钥。这意味着即使应用程序代码本身没有安全漏洞，网站仍可能受到影响。两个漏洞均获得了 9.2/10 的高严重度评分。
OpenAI 指出，虽然人类开发人员和安全团队检查了代码，但未能完全解决这些漏洞；而使用人工智能辅助的研究人员在两周内展示了利用 AI 找到实用修复方法的能力。OpenAI 强调，如果没有 AI 技术，这些缺陷可能永远无法被识别和利用，从而处于“无害”状态。
对此，OpenAI 挑战了一种观点，即强大且革命性的技术不可避免地会被坏人使用。该公司坚持认为，采取积极行动解决任何潜在的可利用缺陷是集体责任。值得注意的是，Anthropic 的 Claude Mythos 最近也在“每一个主要的操作系统和每一个主要的网页浏览器”中发现了“数千个零日漏洞”。
