AI挖出PHP重大漏洞，EFF呼吁企业资助开源维护

支撑全球大量网站运行的脚本语言 PHP 近日修复了两个严重漏洞。OpenAI 表示，其 GPT-5.6 Sol 模型参与了这些漏洞的挖掘工作。这两个漏洞分别为 CVE-2026-109618 与 CVE-2026-109619，被统称为「PHP2Shell」。网络安全机构 Palo Alto Networks 旗下 Unit 42 评估，两者均为远程代码执行（RCE）漏洞，CVSS 4.0 评分高达 9.2。

数字权利倡导者及业内人士警告，AI 驱动的漏洞挖掘正在以远超开源维护者承载能力的速度产生新漏洞。

仓促的安全披露

根据 PHP 基金会披露的时间线：

• 8 月 11 日，安全团队 Calif 提交了首份漏洞报告。OpenAI 随后透露，Calif 是通过其「Patch the Planet」计划，借助 GPT-5.6 Sol 发现了其中一个缺陷。
• 8 月 24 日，云安全机构 Wiz 标记了部分重叠问题。Wiz 表示其结合了自研工具、Google 的 Gemini 4 Argon 以及 GPT-5.6 Sol。
• 9 月 18 日，OpenAI 独立报告了相同的根本原因。

由于 CVE 编号在 10 月 20 日提前遭泄露，PHP 官方不得不将 PHP 8.5.12、8.4.27、8.3.36 和 8.2.35 的修复补丁提前一天发布。Chainguard 也在协同披露时间前 6 个多小时发布了修复后的容器镜像。

AWS 报告称在 10 月 17 日就监测到了利用尝试。Unit 42 统计发现，全球有超过 2260 万个暴露的潜在受威胁实例。该机构还观察到攻击者在攻破系统后使用 AI 智能体工具，其中针对欧洲某政府机构的攻击在两分钟内就获取到了密码哈希值。

AI 找 Bug 引发洪峰

OpenAI 表示，此次 PHP 缺陷只是其发现的众多关键漏洞之一，预计未来「类似发现将大幅增加」。据彭博法律报道，部分银行、航空公司和政府机构为防患未然一度下线了网站。Anthropic 的高管也发出警告，此类安全冲击「在好转之前还会变得更加糟糕」。

自 7 月 1 日以来，PHP 基金会安全团队已发布了 15 个 CVE，但在同一时期，他们处理了超过 100 份无效、重复或无法复现的报告。

EFF 呼吁巨头出资支持开源

电子前哨基金会（EFF）发布文章指出，仅 10 月一个月就有高达 1.3 万个新 CVE 被提交。EFF 认为这一激增「几乎完全」归因于 Anthropic、OpenAI 和 Google 的 AI 模型。当前仍有超过 3300 万个网站运行着存在漏洞的 PHP 版本，面对铺天盖地的报告，开源志愿者维护者正经历前所未有的倦怠。

EFF 明确呼吁：「那些没有开源软件其产品就无法存在的商业巨头，应当主动且积极地为这些项目的日常维护提供资金支持。」