PHP 上周曝出两个严重漏洞，而约 70% 的网站运行在这门开源语言上，部分机构在修复前将站点下线。发现漏洞的研究者称这只是开始：AI 正在改变新漏洞被发现和利用的速度。Google 旗下 Wiz 负责暴露管理与应用安全的 CTO Tomer Schwartz 参与了与 OpenAI、研究机构 Calif 和 PHP 团队一同修复漏洞的工作，他在 TechCrunch 的 Equity 播客中讲述了内部抢修过程、早期创业公司如何把安全纳入设计，以及为什么手工打补丁无法规模化。
推荐理由了解 AI 如何加速漏洞挖掘与利用，以及 70% 网站依赖的 PHP 此次抢修内幕。
PHP 基金会表示，针对远程代码执行（RCE）漏洞的补丁只覆盖 PHP 8.2 及更新版本，旧版本部署只能依赖第三方厂商提供修复。原文信息有限，未披露漏洞编号、影响范围和利用条件。
推荐理由仍在使用 PHP 8.1 及更早版本的项目需尽快确认第三方补丁来源
Wiz Research 在 PHP 核心引擎中发现多个内存安全漏洞，其中包含未认证远程代码执行和内存泄露，CVSS 评分最高 9.2。从 PHP 5.4 起近十年发布的每个版本都至少受其中一个漏洞影响，攻击者可远程利用，部分利用难度较低。PHP 于 2026 年 10 月 21 日发布补丁。这些缺陷存在超过十年，此前因利用链过于复杂而未被发现，前沿 AI 模型显著降低了利用门槛。PHP 驱动全球约 70% 的网站，包括 WordPress、Drupal 和 MediaWiki。
推荐理由运行 PHP 的站点需立即升级；这也是 AI 首次把十年老漏洞变成可实际利用的案例。
OpenAI 称其 Patch the Planet 计划中，Calif 借助 GPT-5.6 Sol 发现 PHP 的关键漏洞，Wiz 也独立发现并报告了这两个漏洞。PHP 维护者主导修复与发布，Wiz、Cloudflare 等参与研究和协调。OpenAI 认为这是近年影响最大的安全问题之一，并称前沿 AI 先于攻击者发现漏洞，形成「防御者窗口」。OpenAI 承诺投入 10 亿美元补贴 Daybreak 访问，面向安全资源有限的机构，并提供 PHP 版本检查工具和 Codex skill。
推荐理由PHP 站点运维者应尽快按官方指引升级，并可用 OpenAI 的版本检查工具自查