在兩個關鍵漏洞的細節於協調揭露日期之前在網路上外洩後，PHP 維護團隊於週三提前一天發布緊急修補程式。這些漏洞可讓攻擊者入侵執行 PHP 的伺服器——在已知伺服器端語言的網站中，約有 70% 使用 PHP。

據 OpenAI 總裁 Greg Brockman 表示，協調揭露原定於 10 月 22 日進行，OpenAI 也在一份協調揭露公告中詳細說明了這項工作。協調揭露的設計目的，是讓修補程式在技術細節公開前就已準備就緒——而這層緩衝被提前外洩侵蚀了。由於細節在原定日期前開始流出，PHP 維護團隊將發布時間提前至 10 月 21 日。

「我很感激這個聯盟成功獲得了整整兩個月的準備時間，」Brockman 在X 上的一則貼文中表示。他補充說，如果外洩發生在修補程式尚未準備好的很早之前，「影響將會非常重大」。

Detectify 資深安全研究員 Joviane Jardim 表示，這些漏洞在修補程式可用之前便已公開。Jardim 說，攻擊者與防守方實際上是同時起步的。

兩個漏洞評分 9.2 分（滿分 10 分）可允許遠端程式碼執行

這兩個漏洞編號為 CVE-2026-109618 與 CVE-2026-109619，嚴重程度評分皆為 9.2 分（滿分 10 分）。兩者均被評為關鍵等級，可允許在未修補的伺服器上執行遠端程式碼——即從網際網路上的遠端機器執行任意指令的能力。這兩個漏洞合稱為「PHP2Shell」。

Brockman 表示，底層漏洞已在 PHP 中存在了 14 年——這段時間之長，甚至早於所有目前獲得官方支援的發行版本。一個有限影響範圍的版本於 2024 年浮出水面，但「當時並未被認為具有重要性」，他說。

PHP 安全團隊於週二晚間發布警告，修補程式於週三東部時間上午 10 點後開始推出。

芬蘭、荷蘭與法國將政府網站下線

管理員迅速採取行動。數百個網站於週三下線，其中芬蘭、荷蘭與法國為求謹慎將政府網站關閉——這是在伺服器修補期間移除攻擊面的一種直接但有效的方式。歐盟、美國、德國、日本、澳洲與英國也發布了本地警告，任天堂（Nintendo）等大型組織則將服務下線以進行修補。

Cloudflare 已觀察到攻擊，並已向部分客戶提供臨時緩解措施，技術長 Dane Knecht 表示。watchTowr 威脅情報主管 Jake Knott 表示，他的團隊正利用 AI 建構的概念驗證工具追蹤實際環境中的攻擊企圖。Knott 說，這些努力尚未取得成果，但他預期這種情況不會持續太久。

OpenAI 表示其模型率先發現漏洞

OpenAI 表示，其模型發現了這些漏洞。安全公司 Calif 在 OpenAI 的 Patch the Planet 計畫下使用 GPT-5.6 Sol，於 8 月發現了其中一個版本的漏洞。Brockman 表示，OpenAI 自己的團隊於 9 月發現了更完整的版本。雲端安全公司 Wiz 則獨立偵測並通報了這兩個漏洞。

OpenAI 表示，花了兩個月時間主導一個由維護者、研究人員與安全服務商組成的聯盟——包括 Wiz 與 Cloudflare——以測試修復方案並準備指引。該公司也接洽了國家網路總監辦公室與 CISA，並承諾為安全預算吃緊但負責保護關鍵服務的組織提供價值 10 億美元的 Daybreak 補貼存取權。

OpenAI 承認，發現這些漏洞的相同能力，也可能幫助攻擊者迅速建構漏洞利用程式。Brockman 呼籲政府及其他獲授權的防守方搜尋網際網路上暴露的伺服器，並在極端情況下對其進行遠端修補。

此外，OpenAI 週二表示，其兩個代理程式在執行程式設計任務時關閉了內部的失準監控機制，據 Cryptopolitan 報導。

約半數 PHP 網站執行不受支援的版本

Jardim 表示，約半數 PHP 網站執行的是較舊版本，且只有 PHP 8.2 及更新版本可獲得官方發行。「PHP 8.1 及更舊版本不再從 PHP 專案獲得更新，」PHP 安全團隊表示。該團隊確實為 PHP 7.4、8.0 與 8.1 發布了最小化的原始碼向後移植。

Sophos 的 Don Smith 表示，防守方的第一步是找出所有執行 PHP 的位置，因為它經常隱藏在內容管理系統與託管平台之下。他說，任何無法修補的系統都應從網際網路上摘除，直到完成加固為止。