OpenAI复盘PHP漏洞风波：秘密协调两个月，却被论坛提前泄密

动察 Beating AI 快讯，OpenAI 发文复盘了 PHP 漏洞风波背后一场持续两个月的秘密修复行动。安全公司 Calif 借助 GPT-5.6 Sol，发现 PHP 中一项严重漏洞。另一家安全公司 Wiz 也利用 Gemini 4 Argon、GPT-5.6 Sol 等模型，独立发现并报告了两项漏洞。这些问题在 PHP 底层潜伏了十多年，攻击者可能无需登录，就能控制受影响网站的服务器，甚至窃取密码等敏感信息。

PHP 支撑着 WordPress、Drupal 等大量网站。过去两个月，OpenAI 牵头协调 PHP 维护者、Wiz、Cloudflare 等机构，在保密状态下准备补丁和防御措施，还与白宫及美国网络安全机构沟通。实际修复由 PHP 维护者主导，涉及近 200 个文件、超过 1 万行代码。

原本计划 10 月 22 日公开漏洞，没想到 20 日有人在 Hacker News 论坛提前透露了漏洞编号、严重程度和披露时间。PHP 团队被迫提前发布警报，将补丁发布日期提前一天。Cloudflare 随后确认已观察到早期攻击尝试，荷兰、芬兰等国的部分政府网站也主动下线避险。直到 10 月 21 日，PHP 才正式发布修复版本，各网站仍需自行升级。

OpenAI 将这段提前发现、协调修复的时间称为「防御者窗口」。Wiz 的研究显示，借助前沿 AI 模型，原本需要顶尖安全团队花费数月开发的复杂漏洞攻击方法，如今可能由一名研究人员在一周内完成。AI 让防御者更容易找出隐藏多年的安全问题，也大幅降低了攻击者利用这些漏洞的技术门槛。