OpenAI「Patch the Planet」：GPT-5.6 Sol 协助发现 PHP 两个严重远程代码执行漏洞，PHP 8.5.12/8.4.27/8.3.36/8.2.35 紧急修复
10 月 21 日，PHP 官方发布安全公告，修复两个可被未认证远程代码执行的严重漏洞（CVE-2026-109618、CVE-2026-109619），所有提供 Web 请求的 PHP 部署都受影响，mod_php 风险最高。OpenAI 同日披露：安全公司 Calif 在其 Patch the Planet 计划中用 GPT-5.6 Sol 发现了漏洞，Wiz 也独立发现并报告；OpenAI 牵头约两个月的协同披露，并承诺投入 10 亿美元补贴 Daybreak 给资源有限的防御方。
核心要点速览
- 漏洞：CVE-2026-109618（OOM 处理导致内存破坏）与 CVE-2026-109619（请求间残留的全局状态），均可未认证 RCE（PHP 官方）
- 修复：升级到 PHP 8.5.12、8.4.27、8.3.36 或 8.2.35；官方称没有完整缓解措施，升级是唯一安全选择
- 范围：PHP-FPM、Apache mod_php、php-cgi、FrankenPHP、LiteSpeed 均受影响，mod_php 已有演示利用
- AI 角色：Calif 用 GPT-5.6 Sol 发现漏洞，Wiz 独立报告；OpenAI 牵头约 2 个月协同披露（官方口径）
- 投入：OpenAI 承诺 10 亿美元补贴 Daybreak 访问，并将推出检查 PHP 版本的 Codex skill