OpenAI智能体挖出PHP致命RCE 波及七成网站

时间：2026年10月21日。当天 14:00 UTC，PHP 官方紧急发布四个安全版本（8.5.12、8.4.27、8.3.36、8.2.35）；当晚 WSJ、Dead Neurons 等媒体跟进报道；10月21日深夜至22日凌晨，OpenAI 公开完整的全球协调处置方案。北京时间 10月22日上午，中文圈开始大量转发。 地点：美国旧金山（OpenAI 总部）、以色列（Calif Research，攻防安全团队）、荷兰（Wiz Research 研究团队）、以及全球 PHP 核心维护者社区。协调行动触及白宫 Super Intelligence Force、美国国家网络总监办公室（ONCD）与 CISA 等政府部门。 人物：Calif Research 攻防团队（首席研究员 Ryan Austin，最早发现者，比 Wiz 早 18 天）、Wiz Research、PHP 官方安全团队与核心维护者、OpenAI Patch the Planet 团队及 GPT-5.6 Sol、Cloudflare 等基础设施与安全厂商，以及 Anthropic 之外的第三方研究者。 事件详情：Calif Research 团队在 OpenAI「Patch the Planet」计划支持下，使用 GPT-5.6 Sol 定位到 PHP 核心引擎中的一处致命缺陷；Wiz 随后独立发现并上报了同一批漏洞。两者被合并归入两个 CVE：CVE-2026-109618（GHSA-w8hw-w9fx-j79w）与 CVE-2026-109619（GHSA-6wmf-4rv5-p3rp），社区统称 PHP2Shell。PHP 安全团队给出的 CVSS v4.0 评分为 9.2，若干独立研究者直接给出 10.0。攻击者无需认证即可读取常驻 worker 进程的内存（其中可能含密码、令牌、API Key、证书），并执行任意 shell 命令。 技术根因在 PHP 的 Zend Memory Manager：PHP 为每个请求分配独立内存堆，遇到超出 memory_limit 或致命错误时通过 longjmp 强行跳出，导致中间数据结构只被改了一半。Calif 找到了两个通用的 OOM 触发路径——绕过 post_max_size 的分块/压缩请求长度校验，以及用 filename 为空的嵌套 multipart 文件字段（files[a][b][c]）在 8 MiB 上传体积内撑爆 128 MiB 堆——再结合解释器中三处可被打断的插入点，形成内存泄露与远程代码执行。最早受影响路径可追溯至 PHP 5.4.0，即过去十余年几乎所有在网 PHP 版本都至少受其中一个漏洞影响。Calif 已确认在 WordPress 7.1.2、Drupal 11.4.3、Joomla 6.1.4、MediaWiki 1.46.2、Roundcube 1.7.4、Magento 2.4.9、Nextcloud 35.0.1、Laravel 13.11、Symfony 8.1、phpMyAdmin 5.2.3、WHMCS 等标准配置上实现免认证 RCE。 背景：这两个缺陷的技术细节其实早就躺在公开数据里——漏洞函数所在的 C 源码在 GitHub 上存在十余年，Stefan Esser 2004 年发表的内存限制中断原语（memory_limit interruption primitive）早已公开，那个 multipart/form-data 内存耗尽问题 2019 年就被提交到 PHP 公开 bug tracker，2024 年一次安全审计中又在公开 git 仓库里被打过标签。真正的瓶颈不是信息缺失，而是「证明可利用」这一步：需要构造一条内存布局可控的利用链，Wiz Research 形容这「处于人类研究者实际可达到能力的边缘」，前沿模型把这个门槛削平了。值得注意的是，OpenAI 的 GPT-5.6 部署安全页把定位写在「CVE-bench」而不是攻击侧基准上，称其发现与修复漏洞的能力强于在真实攻击中利用漏洞的能力。 影响：Wiz Research 援引的统计是 PHP 支撑全球约 70% 的网站，WordPress、Joomla、Drupal、MediaWiki（维基百科所用）均构建其上，因此 WSJ 直接用「危及全球最多 70% 网站」做标题。关键在于缺陷位于 C 运行时的引擎层，应用层代码无法自保——即使站点自身代码完全合规也照样中招。OpenAI 称这是其已知「近期记忆中最具影响力的安全问题之一」，并表示同类发现「未来几个月会急剧增加」。为放大防守方能力，OpenAI 承诺通过 Daybreak for Frontline Defenders 计划提供 10 亿美元的补贴访问额度，面向安全资源有限却需保护关键服务的机构；同时把 PHP 版本检查器做成 Codex skill 开源在 GitHub，供运维自查受影响版本。 治理层面的信号更大：OpenAI 借此公开了一套面向 AI 时代的五阶段漏洞响应框架——上游验证与修复（含用前沿模型做对抗性测试）、给受影响机构留出准备时间、协调政府伙伴保护关键系统、在各分发渠道准备更新、补丁可用后发布指南并支持部署，并明确提出「披露窗口」「紧急打补丁」「分级提前预警」「默认安全的软件包」四个待解问题，向安全社区公开征集反馈。OpenAI 还透露已通过 Codex for OSS 为全体开源维护者提供订阅，并成为 Rust Foundation 白金会员。OpenAI 同时承认正在为 Daybreak 校准额外的阻断分类器，并点出其中的取舍张力：本意是防滥用的护栏，同样可能挡住正当的安全研究。 总结：PHP2Shell 是一次「AI 把存量高危漏洞从不可利用变成可利用」的完整样本——缺陷不新，链条很老，缺的是最后那一步拼图。Calif 团队在复盘中也直指要害：相关代码与原始研究思路本就在训练数据里，是人把这台二十二年前的漏洞类别指向模型，才促成武器化。对防守方而言，眼下的动作非常直接：立刻升级到四个新版本，用开源的版本检查器扫一遍存量资产，并按 CISA 的 BOD-26-04 指令按暴露面、被利用程度与潜在影响排序处置节奏。对行业而言，比漏洞本身更值得跟踪的是 OpenAI 那套五阶段框架能否被广泛采纳——当模型以天为单位批量产出高危漏洞披露，「披露窗口」这个概念正在被重新定义。 参考来源： OpenAI 官方公告 https://openai.com/index/coordinated-disclosure-of-critical-vulnerabilities/ Patch the Planet 官网 https://patchtheplanet.org/ Wiz Research 技术分析 https://www.wiz.io/blog/php2shell-php-rce Calif Research 首发漏洞披露 https://calif.io/php2shell/ Dead Neurons 深度复盘 https://deadneurons.substack.com/p/php2shell-explained-php2shell-was WSJ 报道 https://www.wsj.com/tech/cybersecurity/ai-just-found-a-bug-that-puts-up-to-70-of-the-worlds-websites-at-risk-fd0902ea PHP 8.5.12 官方发布说明 https://www.php.net/releases/8_5_12.php PHP 安全公告 CVE-2026-109618 https://github.com/php/php-src/security/advisories/GHSA-w8hw-w9fx-j79w PHP 安全公告 CVE-2026-109619 https://github.com/php/php-src/security/advisories/GHSA-6wmf-4rv5-p3rp OpenAI 开源 PHP 版本检查器 https://github.com/openai/php2shell-checker OpenAI GPT-5.6 部署安全页 CVE-bench https://deploymentsafety.openai.com/gpt-5-6/cve-bench CISA BOD-26-04 优先级指令 https://www.cisa.gov/news-events/directives/bod-26-04-prioritizing-security-updates-based-risk