OpenAI揭露PHP致命漏洞：全球70%网站涉险，荷兰网安中心紧急关站

OpenAI近日公开了一起重大网络安全事件，其研究团队借助人工智能技术在全球广泛使用的PHP语言中发现了两个致命漏洞。该事件导致全球约69.3%的网站面临风险，相关安全机构不得不采取紧急关站措施以应对潜在的远程代码执行攻击。受影响的部署中，攻击者无需登录即可利用这些漏洞让服务器执行恶意代码，即所谓的远程代码执行（RCE）。荷兰国家网络安全中心（NCSC）于10月21日率先关闭官网避险，日本财务省也暂停了部分服务进行紧急检查。漏洞修复工作由OpenAI牵头协调，PHP维护团队主导完成。研究发现，攻击路径利用了PHP引擎内存管理机制中的缺陷，包括内存耗尽（OOM）和释放后使用（UAF）问题。研究者通过Calif项目和Wiz公司的独立复现验证了这些攻击可行性。在补丁正式发布前的最后48小时内，由于保密协议泄露，攻击演示视频及含修复的代码镜像意外流出，迫使PHP团队将原定发布时间提前。Cloudflare首席技术官Dane Knecht指出，尽管临时防护措施已部署，但安装正式补丁仍是唯一解决方案。OpenAI同时预告，除了已修复的这两个漏洞（合称PHP2Shell），还有其他几项重大安全漏洞正在排队处理中。全球网站运营者需立即升级至最新版本的PHP 8.5.12、8.4.27或更低版本的安全补丁以消除风险。此次事件凸显了AI在开源软件安全审计中的关键作用。Calif研究团队利用GPT-5.6 Sol模型从历史内存限制漏洞入手，结合自动化工具发现了新的攻击面，而Wiz也独立找到了部分漏洞并参与了验证工作。