OpenAI 模型帮助发现影响 Web 服务器的两个关键 PHP 漏洞
在为期两个月的协调修复工作之后，PHP 于 10 月 21 日发布了针对两个无需认证的远程代码执行漏洞的修复。
By Ryan Merket · Published · Updated
Primary source: X · @OpenAI
为何重要
这些漏洞影响了被广泛部署的运行时，披露表明，人工智能辅助发现之后必须紧随经过验证的发现、协调修复以及由运营方执行的更新，以降低风险。
OpenAI 表示，其模型帮助研究人员发现了 PHP 中的两个关键远程代码执行漏洞——这些漏洞在与研究人员、维护者和安全供应商为期两个月的协调努力后，于 10 月 21 日由 PHP 维护者修补。修复程序解决了可能允许未认证攻击者以 PHP web 工作进程权限运行代码的缺陷。
PHP 开发团队的安全通告 在 CVSS v4 下将这两个漏洞的评分均定为 9.2（满分 10 分），并敦促用户立即更新。发布版本为 PHP 8.5.12、8.4.27、8.3.36 和 8.2.35。PHP 8.1 及更早版本已不再由该项目接收更新，尽管一些发行版和长期支持供应商可能会提供回移补丁。
第一个漏洞，CVE-2026-109618，涉及 PHP 对内存不足错误的处理。在某些请求条件下，PHP 可能在内部数据仅部分初始化时退出，然后在请求清理期间处理该无效状态。该通告确认在使用默认输入和内存限制的 Apache 的 mod_php 环境中存在远程代码执行；通告称攻击可以在应用代码运行之前发生。通告还基于源码分析将 PHP-FPM 描述为易受影响，但指出尚未为该设置演示完整利用链。…
When you purchase through links in our articles, we may earn a small commission. This doesn’t affect our editorial independence.