資安研究人員在 OpenAI 模型的協助下，發現了 PHP 中的嚴重漏洞。PHP 是為全球約 70% 網站提供動力的開源腳本語言。

這些漏洞被統稱為 PHP2Shell，被形容為可能是十多年來 PHP 所發現最嚴重的漏洞之一，部分專家將其與 Heartbleed 相提並論。Heartbleed 是 2014 年揭露、曾讓攻擊者讀取伺服器記憶體區塊的惡名昭彰的 OpenSSL 漏洞。

研究人員發現了什麼

這些漏洞是在 2026 年 8 月由資安公司 Calif 的研究人員進行稽核時發現的。團隊使用 OpenAI 的模型之一 GPT-5.6 Sol 來檢視 PHP 的原始碼。Calif 的 Ryan Austin 因發現這些漏洞而獲得肯定。

這些漏洞可實現遠端程式碼執行與對伺服器記憶體的控制。實際而言，位於網際網路上任何位置的攻擊者，都能迫使伺服器執行原本不應執行的指令。

這項發現之所以重要，部分原因在於漏洞所在的位置：是在 PHP 本身，而非建構於其上的任何單一應用程式或外掛。

根據研究結果，這些漏洞可能會暴露網站訪客的敏感資料，也可能成為對其他系統發動進一步網路攻擊的立足點。

揭露過程如何展開

Calif 執行長 Thai Duong於 8 月 11 日通知參與 PHP 開發的 Volker Dusch，展開一場低調且協調一致的修補行動，以在攻擊者得知之前解決問題。這種優先保密的做法即是所謂「協調式漏洞揭露」的標準資安實務，即在細節公開之前先在幕後完成修補。

這次回應行動集結了 PHP 維護者、外部研究人員、資安供應商，以及 CISA（網路安全與基礎設施安全局）和 ONCD（國家網路總監辦公室）等美國機構。

OpenAI 於 2026 年 10 月 21 日宣布其「Patch the Planet」計畫。該計畫旨在動員防禦者因應 PHP2Shell 漏洞，並支援協調式的修補工作。由於漏洞資訊部分外洩，團隊被迫將修補程式的發布提前至 10 月 22 日。

作為該計畫的一部分，OpenAI 將提供 10 億美元的補貼模型存取權。目標是讓 AI 工具落入正在處理此類漏洞的第一線防禦者手中。

為何 AI 輔助的漏洞挖掘改變了局面

研究中引用的專家將此事件與 Heartbleed 相提並論。他們也強調，AI 增強的漏洞發現能力是雙面刃：協助防禦者找出破口的能力，同樣可能幫助攻擊者發現並利用這些漏洞。

這種緊張關係正是 OpenAI 10 億美元承諾的核心。如果模型能更快地浮現重大漏洞，這場競賽的關鍵就在於誰先使用它們。為防禦者補貼存取權，正是企圖將這場競賽的天平倒向負責修補的一方。

這代表什麼

對網站營運者而言，當務之急很簡單：更新。修補程式已經存在，而部分資訊外洩意味著時鐘早已在眾人期望之前開始滴答作響。由於 PHP 支撐著網路上如此大的比重，這次更新的適用範圍遠遠超出任何單一網站或主機服務商。

對開源世界而言，PHP2Shell 再次提醒了一個結構性問題：關鍵的網際網路基礎設施往往依賴由小型團隊維護的專案，當如此嚴重的出現時，這種依賴便成為系統性風險。美國機構在此次揭露中的深度參與，顯示各國政府如今對這種依賴的重視程度。

後續觀察重點：網站多快會套用 10 月 22 日的修補程式、是否會有 PHP2Shell 在實際環境中被利用的通報，以及 OpenAI 如何分配其 10 億美元的補貼存取權。