OpenAI 的 AI 發現潛伏十年的 PHP 漏洞，並協調修復

本週，全球網站大量使用的腳本語言 PHP 出現一對嚴重安全漏洞，迫使全球罕見地緊急動員。據 OpenAI 和安全研究人員稱，這些漏洞在 OpenAI 的 AI 工具協助下被發現，隨後在軟體維護者、安全公司、雲端供應商和國家網路安全機構的協調衝刺下得到修復。

這兩個漏洞被統稱為 PHP2Shell，追蹤編號為 CVE-2026-109618 和 CVE-2026-109619，在 CVSS v4.0 嚴重性評分中均獲得 9.2 分（滿分 10 分）。在最壞情況下，攻擊者可在易受攻擊的伺服器上執行任意程式碼，這幾乎是網路安全中最嚴重的情況。據報導，這些漏洞已在程式碼庫中潛伏十多年。

這項發現來自 OpenAI 的「修補地球」計畫，該計畫將 AI 模型與安全研究人員配對，以尋找廣泛使用的開源軟體中的弱點。據稱，安全公司 Calif 和雲端安全公司 Wiz 於八月在 AI 協助下獨立發現了 PHP 問題。隨後約兩個月內，各方默默準備修復程式，以防任何人將漏洞武器化。

該計畫在 10 月 20 日細節外洩時被打亂，顯然早於協調發布日期。外洩事件讓 PHP 維運團隊度過漫長的一夜，管理員忙於評估暴露程度並採取緩解措施。PHP 基金會於 10 月 21 日發布官方修補程式，OpenAI 同日也發布了對整個行動的說明。

這個故事的意義遠不止於開發者論壇。PHP 是網路上內容管理系統、論壇和商店的基礎，中國科技媒體流傳的估計認為其覆蓋約七成網站。該層面存在可遠端利用的漏洞是系統性風險，而非小眾風險，這就是雲端供應商和政府安全機構加入應對的原因。

對 OpenAI 而言，「修補地球」也是關於 AI 可能如何改變漏洞研究的聲明。大規模尋找漏洞傳統上是緩慢的手動工作。AI 模型可以快速掃描龐大的程式碼庫，但更困難的是隨後的人類機制：驗證發現、編寫修補程式、警告供應商，並在用戶能夠更新之前保密一切。PHP 事件在洩漏壓力下考驗了這一機制。

這一事件也凸顯了日益增長的緊張關係。AI 輔助發現意味著更多漏洞將更快浮現，並非每個專案都有維護者或資源來快速回應。協調披露規範曾是業界安靜的角落，如今正成為涉及很少相互交談的公司和機構的全球後勤演習。

對一般用戶和企業而言，實用建議不變：及時更新 PHP 安裝和相關軟體，並留意供應商公告。對業界而言，教訓可能是 AI 現在已成為安全供應鏈的一部分，競賽不再只是尋找漏洞，而是在網際網路發現之前修復它們。