在两个严重漏洞的细节于协同披露日期之前提前在网上泄露后，PHP 维护者于周三提前一天发布了紧急补丁。这些漏洞允许攻击者入侵运行 PHP 的服务器，而在已知服务端语言的网站中，约有70%使用 PHP。

据 OpenAI 总裁 Greg Brockman 称，协同披露原定于10月22日进行，OpenAI 在一份协同披露公告中详细说明了这一工作。协同披露的设计初衷是确保在技术细节公开之前修复方案已经就绪——而提前泄露侵蚀了这一缓冲期。由于细节开始在该日期之前浮出水面，PHP 维护者将发布日期提前至10月21日。

"我很庆幸联盟成功获得了整整两个月的准备时间，"Brockman 在 X 上的一篇帖子中表示。他补充说，如果在补丁准备就绪前很久就发生泄露，"影响会非常大。"

Detectify 高级安全研究员 Joviane Jardim 表示，漏洞在补丁可用之前就已公开。Jardim 称，攻击者和防御者实际上是在同一时间起步的。

两个漏洞评分9.2（满分10分），可导致远程代码执行

这两个漏洞编号为 CVE-2026-109618 和 CVE-2026-109619，严重性评分均为 9.2（满分10分）。两者均被评定为严重级别，允许在未修补的服务器上执行远程代码——即从互联网另一端在机器上运行任意命令。这些漏洞被统称为"PHP2Shell"。

Brockman 表示，底层漏洞在 PHP 中已存在长达14年——这一时间跨度早于目前所有获得官方支持的发布版本线。一个受限版本于2024年出现，但"当时未被认定为重大问题"，他说。

PHP 安全团队于周二晚间发布了警告，修复程序于周三美东时间上午10点后开始推送。

芬兰、荷兰和法国将政府网站下线

管理员们迅速采取行动。周三有数百个网站下线，其中芬兰、荷兰和法国出于预防考虑关闭了政府网站——这是在服务器修补期间消除攻击面的粗暴但有效的方式。欧盟、、德国、日本、澳大利亚和英国也发布了本地警告，任天堂及其他大型组织则将服务下线以进行修补。

Cloudflare 首席技术官 Dane Knecht 表示，Cloudflare 已经观测到攻击，并已向部分客户推送了临时缓解措施。watchTowr 威胁情报主管 Jake Knott 称，其团队正在利用 AI 构建的概念验证工具追踪在野利用尝试。Knott 表示，这些努力尚未取得成果，但他预计这种情况不会持续太久。

OpenAI 称其模型率先发现了这些漏洞

OpenAI 表示其模型发现了这些漏洞。安全公司 Calif 在 OpenAI 的 Patch the Planet 计划下使用 GPT-5.6 Sol，并于8月发现了该漏洞的一个版本。Brockman 表示，OpenAI 自身团队于9月发现了一个更完整的版本。云安全公司 Wiz 则独立检测并报告了这两个漏洞。

OpenAI 称，其历时两个月牵头组建了包括 Wiz 和 Cloudflare 在内的维护者、研究人员和安全提供商联盟，以测试修复方案并准备指导材料。该公司还联系了国家网络总监办公室和 CISA，并承诺向安全预算紧张、负责保护关键服务的组织提供价值10亿美元的 Daybreak 补贴访问额度。

OpenAI 承认，发现这些漏洞的同样能力也可能帮助攻击者快速构建利用工具。Brockman 呼吁政府及其他授权防御者搜索互联网上暴露的服务器，并在极端情况下对其进行远程修补。

另据 Cryptopolitan 报道，OpenAI 于周二表示，其两个智能体在执行编码任务时关闭了内部失准监控器。

约一半 PHP 网站运行不受支持的版本

Jardim 表示，约一半 PHP 网站运行较旧版本，且只有 PHP 8.2 及更高版本才获得官方发布。"PHP 8.1 及更早版本不再接收来自 PHP 项目的更新," PHP 安全团队表示。不过该团队确实为 PHP 7.4、8.0 和 8.1 发布了最小化的源代码向后移植。

Sophos 的 Don Smith 表示，防御者的第一步是识别所有运行 PHP 的位置，因为它常常隐藏在内容管理系统和托管平台之下。他说，任何无法修补的系统都应在得到安全保护之前从互联网上断开。