OpenAI Patch the Planet程序发现PHP2Shell漏洞
The Big Hardening begins
OpenAI Patch the Planet程序发现PHP2Shell漏洞
OpenAI 通过其 Patch the Planet 程序使用 GPT-5.6 Sol 等模型协助发现并共同推动修复了 PHP2Shell 漏洞，这对依赖 PHP 的网站构成直接影响。适用于中小型网站运营商、开发者和希望了解 AI 在网络安全中的作用的人群。决策时，重点关注是否已完成官方补丁升级，并参照站内 AI 价格雷达数据评估当前模型调用成本，避免因未升级而面临未经授权代码执行风险。
OpenAI 强调，此次漏洞发现体现了“防御者窗口”（Defender’s Window）的概念：先进模型提前识别安全缺陷，让社区有时间准备。原始文章于 2026-10-22 在 Latent Space 发布，标题为 “The Big Hardening begins”。该事件由 Patch the Planet 项目牵头，涉及多方协调，并非单一厂商发现。
背景与影响
PHP 作为全球超过 70% 网站的核心技术引擎，存在两个关键漏洞：CVE-2026-109618 和 CVE-2026-109619。它们影响 PHP 5.4 及更高版本，CVSS 评分为 9.2，属于内存相关问题，可能导致远程代码执行（RCE）和类似 Heartbleed 的内存泄露。
OpenAI Patch the Planet 项目（2026 年 8 月启动）与 Wiz 共同推动发现。OpenAI 称研究员 Ryan Austin 使用 GPT-5.6 Sol 在 2 个月内协调修复。Cloudflare 已提前部署 WAF 规则作为临时防护，计划于 2026-10-21 14:00 UTC 发布官方补丁。
影响范围包括 WordPress、Drupal、Joomla 等主流 CMS，以及任何 PHP 应用。预发布攻击已出现，部分机构（如荷兰政府站点、部分欧洲政府网站）采取预防性下线。OpenAI 随后提供 Codex 技能辅助检查站点状态。
为什么 AI 模型能发现此类漏洞
大型语言模型通过分析大量代码样本和安全知识库，模拟攻击场景并识别潜在缺陷。GPT-5.6 Sol 在 Patch the Planet 项目中帮助生成检测器和验证补丁，这与传统人工审计效率更高。类似案例中，Gemini 4 Argon 也独立参与发现。
决策 checklist：
- 是否升级至修复版本？
- 是否启用 Cloudflare WAF？
- 是否定期运行站内工具进行版本检查？
站点操作路径
在 roohome.cn，AI 比价与价格雷达板块显示当前 OpenAI 官方 API 调用价格。建议通过 /official-api 页面查看最新模型定价，并使用 /api-transit 进行会话管理。查看详细 OpenAI 官方价格请参考 /official-prices 页面。
风险与边界
升级后必挂：未及时升级可能导致未经授权代码执行，影响网站可用性和数据安全。对不上账：AI 模型发现漏洞的功劳不应归因单一方，需参考官方协调声明。这不是法律意见，仅供参考。请以官方安全公告为准，勿执行未授权操作。
延伸阅读
English summary
OpenAI’s Patch the Planet program, using models like GPT-5.6 Sol, worked with researchers to discover and help coordinate fixes for PHP2Shell vulnerabilities (CVE-2026-109618 and CVE-2026-109619) in core PHP, affecting over 70% of the web. The two memory-related flaws enable potential remote code execution and disclosure, with demonstrated impacts on major CMS platforms. A broad community response, including Cloudflare’s early WAF mitigations and the PHP Foundation’s emergency release, followed. OpenAI released a Codex skill for site vulnerability checking. Operators should upgrade immediately and verify status via official tools. AI discovery highlights the “Defender’s Window” concept where models identify issues before attackers. This is not legal advice; always consult official advisories and avoid unauthorized actions. For pricing and model details, refer to RooHome official pages.