← 返回 Sardaana AI
前沿AI模型助力揭露PHP核心“PHP2Shell”漏洞；OpenAI提出五阶段披露方案
PHP于10月21日发布补丁，修复Wiz称可导致无需认证远程代码执行的内存安全漏洞，严重程度最高达CVSS 9.2。Wiz和OpenAI表示，AI模型在发现和利用这些漏洞中发挥了关键作用。
2026年10月21日，PHP项目发布修复版本，修补该语言核心引擎中的内存安全漏洞，Wiz Research以PHP2Shell之名公开披露。
漏洞情况
- 这些问题归入两个CVE，严重程度最高达CVSS 9.2。据Wiz称，它们可导致无需认证的远程代码执行，并可读取服务器内存，其中可能包含密码、令牌和API密钥。
- Wiz表示，自5.4起的所有PHP版本都至少受其中一个漏洞影响。Wiz演示了针对WordPress、Drupal和Joomla的有效攻击，但强调漏洞位于PHP本身而非这些应用。Wiz称约70%的网站使用PHP。
- 唯一彻底的解决办法是升级PHP。云服务和CDN厂商为无法立即打补丁的用户准备了临时缓解措施。
AI的作用
Wiz称其使用了自家工具Wiz Atlas以及Gemini 4 Argon和GPT-5.6 Sol，模型使其能在数小时内把多个缺陷串联成可用的漏洞利用，这项工作被其形容为“处于人类研究人员实际能力的极限”。另外，Calif公司的一名研究人员在OpenAI的Patch the Planet开源安全计划中，借助GPT-5.6 Sol发现了其中一个漏洞。
OpenAI的方案
OpenAI借此提出针对同时影响众多产品的AI发现漏洞的五阶段流程：确认并修复（包括用前沿模型检查补丁是否可被绕过）、让发行版和托管商提前准备、引入政府应急部门、扩大知情范围、最后发布指南。据Help Net Security报道，PHP案例中参与的有美国国家网络总监办公室和CISA。OpenAI预计此类发现将在“未来几个月急剧增加”，并征求安全社区意见。