“正如预料，watchTowr 情报团队已经观察到最新 PHP 漏洞在野外的利用尝试。”安全公司 watchTowr 威胁情报负责人杰克·诺特（Jake Knott）在周三上午的一封邮件里这样写道。他补充说，截至当时还没有人成功，但“我们不指望这种局面能维持多久”。

这句话背后，是 PHP 这个支撑着约 70% 网站的程序语言，刚刚经历的一场紧急安全响应。两个严重漏洞的严重性评分均为 9.2（满分 10 分），PHP 在 10 月 21 日周三发布了紧急补丁，此前研究人员与软件维护者已经进行了数周的协同工作。

眼下最直接的担忧是：网站管理员能不能赶在黑客把这些新披露的漏洞变成大范围攻击之前，把自家服务器补好。

漏洞是怎么被找到的

OpenAI 在周三一篇关于其“Patch the Planet”计划的博客文章中详细说明了发现过程。这项计划把软件维护者、安全研究人员和基础设施提供商聚到一起，目标是在公开披露之前先把修复方案准备好。

一个自称黑客团队的组织 Calif 使用 GPT-5.6 Sol 模型识别出了其中一个漏洞。据 OpenAI 介绍，安全公司 Wiz 则独立发现并报告了这两个漏洞。

修补工作由 PHP 开发团队牵头，OpenAI、Wiz 和 Cloudflare 提供了研究与技术支持。这两个漏洞需要大范围协调，因为它们的影响可能波及无数独立运营的网站和服务器。

OpenAI 表示，前沿模型在攻击者之前识别出了这些漏洞，为防御方争取了准备时间。这个时间窗口之所以重要，是因为公开技术细节既能帮助其他研究人员理解漏洞，也可能给黑客提供一个起点。

攻击者可能夺取服务器控制权

这两个漏洞可导致远程代码执行，让攻击者能在受影响的服务器上运行恶意命令。取决于服务器的配置和权限，一次成功的攻击可能泄露敏感信息，或使系统被攻陷。

PHP 官方安全公告敦促用户立即更新。此次发布包含对受支持分支的修复，某些较旧版本也有紧急更新可用。管理员应查阅 PHP 的官方指引，为自己的安装环境找到正确的软件包。

安全专家已经在担心漏洞被武器化的尝试。watchTowr 复现了其中一个漏洞利用，其威胁情报负责人诺特警告说，攻击可能迅速升级。

Cloudflare 首席技术官戴恩·克内希特（Dane Knecht）周三表示，公司已在其防火墙上部署了修复措施。美国国家安全局也敦促各组织为立即更新做好准备，并建议管理员若无法及时打补丁，就将受影响的系统下线。

找到漏洞只是事情的一半

OpenAI 的披露指向网络安全领域一种日益明显的张力：能力更强的模型可以帮助研究人员挖出深藏的缺陷，但攻击者也可能用类似的工具更快地开发出利用手段。

该公司直接承认了这一风险，警告同样的能力可以帮助恶意行为者构建攻击工具。它预计，未来几个月内，类似重要级别的漏洞发现会大幅增加。

然而，发现一个漏洞并不等于自动让互联网变安全。软件维护者必须开发出可靠的补丁，托管服务商需要部署防护，网站运营者必须更新自己控制的系统。较旧的安装会让这个过程更复杂，尤其是当管理员无法立即升级的时候。

这次 PHP 事件也说明了协同披露为什么重要。研究人员花了数周时间与维护者和安全服务商合作，之后才公布那些既可能帮到防御方、也可能帮到攻击者的细节。

这些准备工作如今给了网站运营者一条修复路径。剩下的不确定之处在于：在攻击者把公开的漏洞知识变成大范围入侵之前，他们能多快行动起来。