不用登录、不用密码，黑客一个请求，就能远程接管全球70%的网站服务器！这两天，全球7成网页的基座PHP，被曝存在2个非常严重的漏洞。团队随之与Open AI一起，秘密组织了一场修复。不过，让人脊背发凉的是：这场本该保密两个月的抢修，最后48小时却崩盘了。
凤凰网科技综合多方信息发现，网上率先有匿名帖先放出漏洞的 CVE 编号，并得到了PHP 官方的确认；之后，安全公司 Calif 误发了攻击演示视频，视频随之被删但副本在全网扩散开；最后，软件供应链安全公司Chainguard 提前发布了含修复的构建镜像，等于把漏洞位置提前递到了攻击者手里。
补丁还没正式落地，第一波攻击已经上路。而OpenAI甚至预告：这次爆出来的，只是开胃菜。
藏在 PHP 里 14 年的漏洞，被GPT翻了出来
“PHP曝出‘php2shell’远程代码执行漏洞(CVE-2026-109618、CVE-2026-109619)。如您的业务使用PHP，请尽快自查并升级至安全版本，避免服务器遭受攻击。”
今天，不少负责运维、安全、开发的同学，都收到了上面这则安全风险通告，提醒使用PHP的用户尽快升级安全版本。
首先得说，PHP 可不是没人管的冷门工具。它平时藏在服务器后台，负责把数据库里的文章、商品、用户信息拼成网页，再端给浏览器：WordPress、Drupal、Magento 这些撑起大量网站的产品，底层都靠它运行。
二十多年来，无数开发者、安全研究员反复研究过它的代码，一遍遍做审计、打补丁。一个被如此盯防的软件，怎么还能在眼皮底下藏一个 14 年的雷？
并且，这两个漏洞的评分都是 9.2，属于“严重”级别。攻击者在特定条件下无需登录，只需要发送一个请求，就能在业务代码运行前直接拿到服务器执行权限。等于大楼的门禁还没起作用，后门已经开了。
听起来像科幻，但这就是这次事件的真实情况。
而帮忙挖出这个漏洞的是GPT-5.6 Sol等人工智能。OpenAI 在公告中确认，安全公司 Calif 使用 GPT-5.6 Sol 发现了 PHP 的关键漏洞；Wiz Research 也独立发现并报告了相关问题，并在研究中使用了 Wiz Atlas、Gemini 4 Argon 和 GPT-5.6 Sol。
图｜源自Open AI官方发帖
具体来说，在研究员的带领下，GPT-5.6 Sol 等AI审核了PHP 的底层代码，发现PHP存在“数据只写了一半，却被当成完整数据”的异常路径。接着，把这条线索整理成可复用的审计规则，继续往下查，又发现了第二个问题。
这件事的意义不止于“AI 找到了一个 bug”。PHP 已经运行了十几年，很多代码在当年是够用的，只是按今天的安全标准重新看有些过时。AI 把这种沉睡风险加速翻了出来，也让防御方抢在攻击者之前获得了一个时间窗口。
但问题也随之而来：如果 AI 能帮好人更快地发现漏洞，它是不是也能帮坏人更快地利用漏洞？
更棘手的是，这次漏洞的细节在补丁发布之前就已经外泄，攻击者甚至跑到了补丁前面。 而 PHP 官方已发布的几个修复版本，PHP 8.1 及更早版本都不能获得正式更新，只能靠源码补丁或发行版回补。
也就是说，很多网站的困境不是修不修？而是能不能修？修到哪一步？修完会不会把业务搞崩？
漏洞被发现，只是第一关。真正难的是后面：资产清点、版本兼容、测试验证、灰度升级、重启进程、确认旧进程是否还在跑。AI 把发现漏洞的速度拉满了，但修复这件事，仍然卡在组织、流程和旧系统里。
确实，在AI的加持下，挖漏洞的门槛正在降低，但防御的速度却未必跟得上。AI 让“发现”变得廉价，可“修复”仍然昂贵。
AI 能更快找到漏洞，互联网为什么还是修不好？
其实，这两处漏洞并不是今天才被发现。
PHP 基金会表示，CVE-2026-109618 的线索，最早出现在 2024 年 PHP 项目的一次外部安全审计中。当时，一名核心开发者在修复审计发现的问题时，已经注意到了相关隐患……“迟迟没有修复，是一次结构性失败”。
PHP 基金会的说法，揭示了一个困境：对程序员来说，找出漏洞往往比修好它更简单。
就像PHP基金会自己说的，多种修复方案都各有代价：有的可能破坏向后兼容，有的可能引入新的拒绝服务风险，还有的需要协调大量第三方扩展。
修复工作因此停了又启、启了又停，问题被搁置了下来。直到这一次，它被GPT-5.6 Sol发现。
其实，更大的矛盾是，全球不少商业巨头、创业公司，都在免费享用 PHP 这类开源软件打下的地基，可地基的维护，长期压在一小批志愿者和捉襟见肘的资金上。
PHP 基金会曾多次公开呼吁：那些靠开源赚得盆满钵满的公司，有没有拿出与自己依赖程度相匹配的投入？
去年9月，Java、Python、PHP、Rust、Eclipse 等基金会还联合 OpenSSF 发布声明，直接喊话大企业：“开源基础设施并非免费”，长期免费使用不可持续，商业用户应该为基础设施付费。
说白了，问题不是没人看见漏洞，而是看见之后，谁来付钱、谁来承担兼容风险、谁来为那些早已无人维护的系统兜底？
AI 的出现，把这种问题放大得更明显了。它让“发现漏洞”变得前所未有地快，却无法自动解决“修复漏洞”这件最费人力的事。补丁要不要打？打了会不会出事？由谁来审？企业要不要立刻更新？老系统迁不迁移？……每一步都需要组织和人来做决策。
AI 确实提高了找到问题的速度，却把修问题的责任，原样留给了本来就已经人手不足的生态。
所以，当 AI 越来越擅长找漏洞，互联网真正的短板到底在哪？
本文由 AI宝盒自动抓取并翻译，版权归原作者所有；如需查看原文请点下方链接。