PHP爆出CVSS 9.2级漏洞波及七成网站：一人一周挖出四个bug，OpenAI投10亿美元协防

互联网上约七成网站赖以运行的 PHP，一夜之间成了全球安全圈的头条。10 月 21 日，PHP 官方发布了一份措辞罕见的公告，标题直接写着「update now（立即更新）」：两个远程代码执行漏洞 CVE-2026-109618 和 CVE-2026-109619 同时曝光，CVSS v4.0 评分均高达 9.2。这条公告在 Hacker News 上拿下 1494 分和 646 条评论，成为当日 runaway 级的头号热帖。

两个 9.2 分漏洞是什么

两个漏洞都出在 PHP 自身的请求处理路径上，攻击者无需认证即可远程执行代码：

  • CVE-2026-109618：内存耗尽（OOM）错误可以中断请求初始化过程，而清理逻辑会把无效数据当作有效数据继续使用，属于典型的堆内存释放后重用（UAF）问题；
  • CVE-2026-109619：致命错误发生后，请求状态没有被正确回收，同一 worker 进程处理的后续请求会复用被攻击者提前"塑形"过的已释放内存。

技术社区随后贴出的深度分析显示，触发点藏在 session.upload_progress 模块：它在处理 multipart 请求时会反序列化进度数据，致命错误路径上的内存释放给后续请求留下了可乘之机。

影响面：从 WordPress 到政府网站

影响范围是这次事件刷屏的核心原因。凡是处理 Web 请求的 PHP 部署全部中招，包括 PHP-FPM、mod_php、php-cgi、FrankenPHP 和 LiteSpeed，其中 mod_php 的处境最危险——在应用代码运行之前就可以被利用。漏洞影响可以回溯到大约 PHP 5.4 之后的几乎所有版本，成功利用后攻击者可以未经认证地从服务器内存中读取密码、令牌和 PHPSESSID 会话 Cookie；109618 可波及 WordPress、Drupal 和 Joomla，109619 可波及 Drupal 和 WordPress。

各方的反应速度说明事态严重：荷兰国家网络安全中心（NCSC）在漏洞披露当天干脆把自己的 PHP 站点短暂下线做应急加固，重新上线后首页挂起「PHP 存在严重漏洞：请立即更新」的横幅；Cloudflare 则在公开披露前 9 小时（10 月 21 日 3:02 UTC）就上线了 WAF 防护规则，并透露在披露之前就已经观测到攻击流量——攻击者还在不断变换载荷试图绕过检测。Cloudflare 这次首次在托管规则中启用了「全事务检测」新能力，可在同一次 HTTP 事务内同时检查请求与响应并直接拦截。

发现过程：一名研究员加两个 AI 模型，一周干完顶级团队几个月的活

漏洞的发现过程是另一个看点。Wiz Research 公开了细节：一名研究员把自己的 Wiz Atlas 平台与谷歌 Gemini 4 Argon、OpenAI GPT-5.6 Sol 两个模型组合使用，大约一周内找到了四个 bug 并构建出完整利用链——按照官方说法，这类工作以前需要一个顶级团队花上几个月。时间线非常规整：8 月 19 日发现，8 月 24 日报告 PHP 团队，10 月 21 日协调披露，约两个月的流程走完后四个分支同步修复。

不过功劳归属随后出现插曲。安全公司 Calif 的研究员表示，自己的初始发现并没有使用私有模型，靠的只是对 PHP 代码库漏洞历史的深度熟悉。这也成了 HN 评论区的争论焦点。

OpenAI 的「Patch the Planet」：五步协防加 10 亿美元

趁着 PHP 漏洞的热度，OpenAI 在披露当天发布了名为「Patch the Planet」的全球响应协调框架，宣称要打通 AI 参与安全响应的全链路：第一步验证智能体报告的漏洞严重性，第二步联系上游项目维护者，第三步协调各国政府与行业组织，第四步推动更新落地，第五步发布防御指南。OpenAI 同时承诺投入 10 亿美元，为一线防御组织补贴 Daybreak 模型的访问权限，并上线了 PHP 版本检查工具。

但这份公告在 HN 上收获的更多是嘘声。多数评论认为它夸大了 AI 在本次事件中的角色——毕竟 PHP 漏洞由 Wiz 和 Calif 上报，Calif 研究员明确表示初始发现没用私有大模型。有人翻出 Anthropic Mythos/Glasswing 的数据作对比：发现了 23000 多个漏洞，实际修复的不到 5%——「发现问题」和「推动修复」之间的鸿沟，才是 AI 安全响应真正要解决的分工问题。对正在构建安全智能体的团队来说，披露-验证-修复这条流水线里的职责切分，比新闻稿本身更值得关注。

网站管理员现在该做什么

PHP 基金会已发布修复版本：8.5.12、8.4.27、8.3.36 和 8.2.35，升级是唯一完整的修复手段。PHP 8.1 及更老版本没有官方修复，只有最小化的源码回移植；8.2 分支也将在 2026 年 12 月 31 日停止维护，老系统需要尽早规划迁移。在完成升级前，社区总结的临时缓解措施有三条：把 session.upload_progress.enabled 设为 0 并重启 worker；PHP 8.5 环境可将 fatal_error_backtraces 设为 0；用 cgroups 而不是 RLIMIT_AS 来限制内存。需要提醒的是，这三条都只能降低被利用的可达性，不能替代升级。

运维团队还可以用 Wiz 公开的三条预补丁检测信号自查暴露面：multipart 请求后紧跟内存超限错误、反复出现的 HTTP 500、异常的 PHP worker 进程更替，以及畸形的超长 PHPSESSID Cookie。

这场风波的真正样本意义在于：AI 已经同时站上了漏洞挖掘（Wiz 用模型压缩发现周期）和安全响应协调（OpenAI 想当全球协防中枢）两端，而行业还在为「功劳算谁的」吵个不停。下一次 CVSS 9.2 出现时，这套分工大概会跑得更熟练一些。