无需登录与密码验证，黑客仅需发送一个恶意请求，便能远程接管全球70%的网站服务器。近期，支撑全球七成网页运行的PHP框架被曝出两个严重漏洞，评分高达9.2。OpenAI联合安全团队虽紧急启动了修复工作，但令人背脊发凉的是，原本计划保密两个月的工作，竟在最后48小时内全面失控。更令人担忧的是，OpenAI甚至直言，此次爆出的漏洞仅仅是“开胃菜”。
凤凰网科技综合多方信息梳理出事件脉络：漏洞的CVE编号首先在匿名帖中流出，随即得到PHP官方确认；随后，安全公司Calif误发攻击演示视频，虽被删除但副本已全网扩散；最后，软件供应链安全公司Chainguard提前发布了含修复补丁的构建镜像，相当于直接将漏洞位置暴露给了攻击者。在补丁正式落地之前，第一波攻击已然上路。OpenAI更是发出预警：这只是冰山一角。
此次事件的主角是“GPT-5.6 Sol”等人工智能模型。OpenAI证实，安全公司Calif利用GPT-5.6 Sol发现了PHP的关键漏洞，Wiz Research也通过GPT-5.6 Sol等工具独立发现了问题。这两个漏洞属于“严重”级别，编号为CVE-2026-109618和CVE-2026-109619。PHP作为WordPress、Drupal、Magento等主流网站的底层支撑，其安全性至关重要。然而，这样一个被无数开发者反复审计的软件，竟在眼皮底下潜伏了14年。GPT-5.6 Sol在审核底层代码时，敏锐地捕捉到了“数据未完全写入即被当作完整数据”的异常路径，从而揪出了这个“定时炸弹”。
AI的介入极大地加速了漏洞的发现过程，但修复却步履维艰。PHP基金会表示，类似线索早在2024年的外部安全审计中就已出现，但当时未能及时修复。原因在于修复方案可能破坏兼容性、引入新风险或牵涉大量第三方扩展。更现实的问题是，许多企业网站面临“无法修复”的困境：PHP 8.1及更早版本无法直接获得官方更新，只能依赖源码补丁或发行版回补。修复涉及资产清点、版本兼容、灰度升级等一系列复杂流程。AI让“发现漏洞”变得廉价，但“修复漏洞”的成本依然高昂，且受限于组织流程和老旧系统。
AI的兴起将开源软件维护的矛盾推向了台前。全球商业巨头和初创公司大量依赖PHP等开源基础设施，但维护工作长期压在志愿者和有限的资金上。PHP基金会曾公开呼吁商业用户为基础设施付费。此次事件揭示了一个残酷的现实：不是没人发现漏洞，而是发现后，谁来承担修复责任？谁来兜底那些无人维护的系统？AI提高了发现速度，却无法替代人的决策与执行。
当AI越来越擅长寻找漏洞时，互联网真正的短板并非技术本身，而是应对漏洞的“修复能力”。