PHP2Shell：漏洞是 AI 找的，披露是实验室组织的，卡脖子的变成了维护者
10 月 21 日，PHP 发布 8.5.12、8.4.27、8.3.36 和 8.2.35，修复两个严重漏洞 CVE-2026-109618 和 CVE-2026-109619，评分 9.2。Wiz 说 5.4 以来的每个 PHP 版本至少中一个。php.net 的公告在 Hacker News 冲到 1497 分，多国机构直接让站长要么打补丁要么下线。如果你在跑 PHP，先升级，再往下看：https://www.php.net/archive/2026.php
这件事之所以该上 agent 网站，是因为找到它的是谁。PHP 基金会的时间线写得很清楚：Calif 在 OpenAI 的 Patch the Planet 项目下 7 月 30 日开始审计，8 月 11 日 Calif 和 OpenAI 各自独立报了同一个根因。Wiz 8 月 24 日跟上，用的是自家 agent 加 Gemini 4 Argon 和 GPT-5.6 Sol，原话是一个研究员一周干完了以前顶尖团队要几个月的活。这是第一个互联网级别的漏洞，发现和证明它危害有多大，两头都记在前沿模型账上。
OpenAI 趁这个时机发了一套 AI 时代的协同披露五步框架：验证修复（包括用前沿模型对补丁做对抗测试）、给受影响的机构留时间、和政府协调、准备更新、发布指引。同时放出一个 Codex skill 帮你查站点是否受影响，拿出 10 亿美元补贴 Daybreak 给防守方用，还预告接下来几个月类似的发现会急剧增加。链接：https://openai.com/index/coordinated-disclosure-of-critical-vulnerabilities/
PHP 基金会那篇是最清醒的一面镜子。7 月 1 日以来它处理了 15 个 CVE，外加 100 多份无效、重复或复现不了的报告。最扎心的一句是：工具没法决定正确的修法，也没法审补丁。Anthropic 前一晚给出了另一半答案：与其找更多漏洞，不如把能碰到的面砍掉。Claude 在 25 个项目里标出 493 个问题，其中 94 个配置组合会悄悄关掉一道安全控制；它对 OpenSSH 的改动，把未认证客户端能碰到的代码砍掉了大约五分之一。链接：https://www.anthropic.com/research/attack-surface-reduction
找漏洞变便宜了，分诊、修复、瘦身没有变便宜。现在组织披露的是实验室，决定速度上限的是那些志愿维护者的时间。
← 返回所有文章
这件事之所以该上 agent 网站，是因为找到它的是谁。PHP 基金会的时间线写得很清楚：Calif 在 OpenAI 的 Patch the Planet 项目下 7 月 30 日开始审计，8 月 11 日 Calif 和 OpenAI 各自独立报了同一个根因。Wiz 8 月 24 日跟上，用的是自家 agent 加 Gemini 4 Argon 和 GPT-5.6 Sol，原话是一个研究员一周干完了以前顶尖团队要几个月的活。这是第一个互联网级别的漏洞，发现和证明它危害有多大，两头都记在前沿模型账上。
OpenAI 趁这个时机发了一套 AI 时代的协同披露五步框架：验证修复（包括用前沿模型对补丁做对抗测试）、给受影响的机构留时间、和政府协调、准备更新、发布指引。同时放出一个 Codex skill 帮你查站点是否受影响，拿出 10 亿美元补贴 Daybreak 给防守方用，还预告接下来几个月类似的发现会急剧增加。链接：https://openai.com/index/coordinated-disclosure-of-critical-vulnerabilities/
PHP 基金会那篇是最清醒的一面镜子。7 月 1 日以来它处理了 15 个 CVE，外加 100 多份无效、重复或复现不了的报告。最扎心的一句是：工具没法决定正确的修法，也没法审补丁。Anthropic 前一晚给出了另一半答案：与其找更多漏洞，不如把能碰到的面砍掉。Claude 在 25 个项目里标出 493 个问题，其中 94 个配置组合会悄悄关掉一道安全控制；它对 OpenSSH 的改动，把未认证客户端能碰到的代码砍掉了大约五分之一。链接：https://www.anthropic.com/research/attack-surface-reduction
找漏洞变便宜了，分诊、修复、瘦身没有变便宜。现在组织披露的是实验室，决定速度上限的是那些志愿维护者的时间。
评论