OpenAI 牵头联盟修复潜伏 14 年的 PHP 漏洞 php2shell

Greg Brockman· @gdb · X·2026-10-21 22:58· 1 小时前同事件AI 评分79

AI 导读

Greg Brockman 披露 OpenAI 过去两个月牵头联盟修复 php2shell 漏洞，该漏洞由 Patch the Planet 计划用模型发现，可让攻击者在几乎所有已部署的 PHP 应用上执行代码，已在 PHP 中存在 14 年。

同一件事，精选收录的是《OpenAI 称其模型协助研究人员在披露前发现 PHP 关键漏洞》

正文 · 原文

过去两个月，我们一直牵头一个联盟，以缓解近期记忆中在开源软件中发现的最严重漏洞之一——php2shell，它是在我们的 Patch the Planet 计划中发现的。https://x.com/i/article/2112920540138844160

【X 长文】Towards securing the internet

我的第一门编程语言是 PHP。我记得在学习用这样一门对初学者友好且易于上手的语言构建软件时，发现了创造软件的乐趣。

这也是我对我们团队为保障 PHP 安全所做的工作有着深切个人情感联系的原因之一。过去两个月，我们一直牵头一个联盟，以缓解近期记忆中在开源软件中发现的最严重漏洞之一——php2shell。它是在我们的 Patch the Planet 计划中利用我们的模型发现并处理的。该漏洞允许任何攻击者在几乎所有已部署的 PHP 应用上执行代码，实际上使他们能够窃取用户私人数据或随意修改网站。

该漏洞已在 PHP 中存在 14 年，其一个有限版本曾在 2024 年被发现，但当时并未被认为严重。作为 Patch the Planet 的一部分开展工作的 Calif 安全研究人员在 8 月使用 GPT-5.6 Sol 发现了该漏洞的一个版本；我们的团队在 9 月独立发现了一个更完整的版本。

我们的团队投入了大量工作，为全世界做好准备以缓解该漏洞的影响，包括与政府以及 PHP、Wiz 和 Cloudflare 等合作伙伴密切合作。虽然披露的尾声并未按计划进行（原定目标日期是 10 月 22 日发布，但细节开始提前泄露，因此 PHP 的维护者将发布提前到 10 月 21 日），但我很感激联盟成功获得了整整两个月的时间来准备——这些修复对 PHP 来说相当复杂，而在补丁可用之前大幅提前泄露将会造成非常严重的影响。

我们同时在修复我们发现的另外几个重要漏洞，包括 Node.js 今天宣布的一个远程代码执行漏洞，但由于我们团队和合作组织的带宽限制，它获得的集体关注较少。我们预计在未来几个月会发现更多此类问题。我为我们和许多合作伙伴团队为 PHP 及其他漏洞所做的工作感到自豪，但这项工作也相当缓慢且依赖人工——这两个特性在智能体时代都无法扩展。我们正感受到以经典方式管理每个漏洞的根本局限。

将需要新的方法，我们正在积极思考这些方法，并寻求社区的反馈，以帮助我们共同迎接随着模型进步而改善互联网安全的挑战。随着漏洞发现速度加快，我们将需要新的防御解决方案，可能包括授权防御者（如政府）扫描互联网上的易受攻击主机，并通知或在极端情况下远程修补这些系统。

防御方需要拥有比攻击方更紧凑的 OODA 循环，我们认为这是可能的，尤其是当防御方能够使用比攻击方更强大的模型时。越来越多的公司和项目将与其用来保护自身的模型一样安全，而攻击方也将与其所能使用的模型一样有效。因此，确保我们始终拥有最强大的网络模型应当成为国家优先事项。

为了让更多人能够使用我们的模型，9 月 3 日，我们承诺提供 10 亿美元额度，用于支持一线防御者，例如保护关键基础设施的人员。我们还一直在努力扩大 Daybreak 计划的规模，将网络能力交到可信防御者手中，同时收紧我们的防护措施以降低滥用风险。我们也在构建更多工具，帮助网站运营者和个人借助前沿 AI 进行自我防御；如果你希望成为早期测试者，请联系我们（gdb@openai.com）。

我认为我们正在进入网络安全的新阶段，模型能够发现具有互联网规模影响的漏洞。我们相信，各地的防御者都能发挥作用：将模型应用于自身防御，发现并修复共享基础设施中的问题，并分享最佳实践，最终让互联网更加安全。

https://openai.com/index/coordinated-disclosure-of-critical-vulnerabilities/

来源：Greg Brockman · x.com