OpenAI復盤PHP漏洞風波：秘密協調兩個月，卻被論壇提前洩密

動察 Beating AI 快訊，OpenAI 發文復盤了 PHP 漏洞風波背後一場持續兩個月的秘密修復行動。安全公司 Calif 藉助 GPT-5.6 Sol，發現 PHP 中一項嚴重漏洞。另一家安全公司 Wiz 也利用 Gemini 4 Argon、GPT-5.6 Sol 等模型，獨立發現並報告了兩項漏洞。這些問題在 PHP 底層潛伏了十多年，攻擊者可能無需登錄，就能控制受影響網站的伺服器，甚至竊取密碼等敏感資訊。

PHP 支撐著 WordPress、Drupal 等大量網站。過去兩個月，OpenAI 牽頭協調 PHP 維護者、Wiz、Cloudflare 等機構，在保密狀態下準備補丁和防禦措施，還與白宮及美國網路安全機構溝通。實際修復由 PHP 維護者主導，涉及近 200 個檔案、超過 1 萬行程式碼。

原本計劃 10 月 22 日公開漏洞，沒想到 20 日有人在 Hacker News 論壇提前透露了漏洞編號、嚴重程度和披露時間。PHP 團隊被迫提前發布警報，將補丁發布日期提前一天。Cloudflare 隨後確認已觀察到早期攻擊嘗試，荷蘭、芬蘭等國的部分政府網站也主動下線避險。直到 10 月 21 日，PHP 才正式發布修復版本，各網站仍需自行升級。

OpenAI 將這段提前發現、協調修復的時間稱為「防禦者窗口」。Wiz 的研究顯示，藉助前沿 AI 模型，原本需要頂尖安全團隊花費數月開發的複雜漏洞攻擊方法，如今可能由一名研究人員在一週內完成。AI 讓防禦者更容易找出隱藏多年的安全問題，也大幅降低了攻擊者利用這些漏洞的技術門檻。