OpenAI「Patch the Planet」：GPT-5.6 Sol 协助发现 PHP 两个严重远程代码执行漏洞，PHP 8.5.12/8.4.27/8.3.36/8.2.35 紧急修复

核心背景与行业痛点

PHP 仍是大量网站和 Web 应用的运行时，OpenAI 帖文称约 70% 的网站在用。基础设施级漏洞一旦公开，攻击者往往比运维先动手。随着前沿模型找漏洞的能力变强，问题已经不只是“能不能找到”，而是能否在攻击者之前把修复送到各个发行版、托管商和运维手里。

架构亮点与底层机制

据 PHP 官方公告：CVE-2026-109618 是内存不足（OOM）处理可能在请求数据只初始化了一半时中断 PHP，请求清理阶段把无效数据当成有效数据；CVE-2026-109619 是请求私有的内部状态在内存释放后残留，同一 worker 处理的下一个请求可能在初始化前用到它。两者都可导致未认证远程代码执行。据 OpenAI 博客，Calif 在 Patch the Planet 计划中用 GPT-5.6 Sol 发现漏洞，Wiz 也独立发现并报告了两个漏洞；PHP 维护者主导修复，OpenAI 与 Wiz、Cloudflare 等协调了约两个月，包括提前给发行版、安全厂商和美国政府机构（ONCD、CISA 等）准备防护。

权威 Benchmark 与实测跑分对比

这是安全事件，不是模型发布，官方未公布模型跑分或漏洞发现效率数据。可核实的事实只有：受影响的有 PHP-FPM、Apache mod_php、php-cgi、FrankenPHP 和 LiteSpeed，其中 mod_php 已有演示利用，未认证请求可在任何应用代码运行前触发。OpenAI 称这是“近年影响最大的安全问题之一”，这是厂商口径。

开发者实战落地与开箱指南

立刻升级到 PHP 8.5.12、8.4.27、8.3.36 或 8.2.35；发行版和 LTS 厂商已提前拿到补丁，用系统包的请检查更新。PHP 8.1 及更早版本官方不再维护，但安全团队提供了 7.4、8.0、8.1 的最小源码补丁分支。暂时无法升级时，PHP 建议用 php_admin_value 设置 memory_limit=-1、调低 post_max_size，并在 Web 服务器或代理层限制请求大小，但这些都不能让系统真正安全。OpenAI 还提供 PHP 版本检查器，并将推出对应的 Codex skill。