OpenAI 發起 Patch the Planet：用 GPT-5.6 查出 PHP 致命漏洞並全網修補

全世界將近七成的網站，剛剛經歷了一場驚險的生死時速。

支撐著維基百科、WordPress 和無數老網站的 PHP 語言，突然被曝出存在幾乎波及過去 20 年所有版本的嚴重漏洞。駭客一旦得手，就能在受影響的伺服器上遠端執行惡意程式碼。

這兩個被安全界統稱為 PHP2Shell 的關鍵漏洞，編號分別是 CVE-2026-109618 和 CVE-2026-109619。安全機構 Wiz 直接把它評價為軟體歷史上最嚴重的漏洞之一。

藏了 20 年的底層地雷

這次最戲劇化的地方，在於漏洞最初是怎麼被翻出來的。

OpenAI 透露，他們代號 Calif 的研究員在 Patch the Planet 計劃中，使用大模型 GPT-5.6 Sol 掃描識別出了這個藏了數十年的致命缺陷。與此同時，安全公司 Wiz 也獨立發現了相同的漏洞。

由於 PHP 覆蓋面太廣，OpenAI 在過去兩個月裡悄悄組建了一個多方聯盟，拉來了 Cloudflare、CISA 以及白宮的超級智慧工作組，趕在漏洞公開前測試補丁並部署防護規則。

雖然防守方拼命搶時間，但現實世界的威脅幾乎貼地飛行。

亞馬遜首席資訊安全官 CJ Moses 透露，他們的蜜罐誘餌系統在 10 月 17 日，也就是補丁公開的好幾天前，就已經記錄到了針對該漏洞的真實利用嘗試。

而在漏洞公開之後，攻擊流量迅速失控。Cloudflare 執行長 Matthew Prince 在社交平臺上表示，公開前 10 小時內他們網路裡僅有數千次嘗試，公開 2 小時後就躥升到數十萬次，當天晚上更是達到了數百萬次。

連夜打補丁與關服的網際網路

為了給網際網路止血，整個開源社群幾乎在拿命硬扛。

據媒體報道，幾乎憑一己之力把最終補丁打包出來的，是開發者 Ondřej Surý。他在採訪中一方面對拯救了網路感到淡然，另一方面也感嘆，AI 帶來的快節奏正在榨乾一線防禦者，開源底層早已是一場等待爆發的災難。

危機發生後，DeviantArt、4chan 曾短暫關停，數字圖書館 Internet Archive 也緊急下線維護後火速恢復。芬蘭和荷蘭的部分政府網站甚至選擇主動斷網避險。

PHP 基金會執行董事 Elizabeth Barron 表示，據他們所知，目前還沒有造成遠端程式碼執行的成功入侵，但全網升級已經是當務之急。

但並不是所有網站都能活下來。

因為漏洞深植於 20 年前的老架構，一些早已停止維護的系統根本無法打補丁。運營超過十年的日本老派手遊《World Quest》和《Save My Demonic World》就宣佈因此永久停服，一段數字歷史就此灰飛煙滅。

為了善後，OpenAI 拿出了一個 Codex skill 版本的 PHP 版本檢查工具，並承諾提供 10 億美元的 Daybreak 訪問補貼，專門援助那些維護關鍵公共服務但缺乏資金的防守機構。

為什麼重要

這起事件不僅是一次驚險的漏洞修復，它很可能是 AI 攻防戰全面打響的轉折點。

對普通開發者和中小企業來說，現在最要緊的事只有一件：立刻用檢測工具排查自己的所有舊伺服器。如果系統太老無法升級，甚至需要壯士斷腕考慮下線，否則在幾百萬次自動化攻擊的掃蕩下，淪陷只是時間問題。

對行業而言，它徹底打破了開源軟體的安全平衡。以前維護者面對的是人類駭客的人肉挖掘，現在攻擊者和防守者手裡都有了前沿大模型。這次是 OpenAI 搶先了一步，給行業留出了一段短暫的防禦視窗，但亞馬遜的蜜罐資料表明，攻擊者的腳步幾乎同時趕到了。

我們認為，OpenAI 這一次在漏洞披露上的多方協調流程走得很成熟，拿出 10 億美元補貼低資源防守方也是極具社會責任感的做法。但這種模式有個致命隱患：它把整個網際網路的安全，寄託在少數商業大廠的道德自覺和一名疲憊的開源維護者身上。

當 AI 具備了成規模深挖幾十年開源陳年老程式碼的能力，大模型在防禦端的紅利期可能非常短。如果軟體生態不從根本上向內存安全和自動化防禦遷移，未來的開源基礎設施只會面臨更頻繁、破壞力更強的全面危機。