AI加速发现PHP底层高危漏洞，全球网站紧急下线暴露安全防御滞后

事件概述

2026年10月，由AI辅助发现的PHP底层严重内存管理漏洞被公开，引发全球范围内的网络安全危机。由于漏洞信息在官方补丁发布前泄露，且攻击演示视频流传，荷兰、芬兰、日本等多国政府网站及BambooHR等大型企业服务被迫紧急关停，以防范潜在的大规模攻击。OpenAI随后确认，该漏洞由GPT-5.6 Sol模型辅助安全公司Calif在短短两天内发现。

核心信息

• 漏洞详情：涉及两个关键漏洞编号为CVE-2026-109618和CVE-2026-109619，均为PHP解释器中的内存管理缺陷，允许攻击者通过远程代码执行控制服务器。严重程度评分为CVSS 9.2。
  • CVE-2026-109619 (Use-after-free)：属于“释放后使用”漏洞。PHP在处理已归还的内存时保留旧记录，若攻击者操纵内存布局，可读取或篡改敏感数据甚至执行恶意代码。
  • CVE-2026-109618 (内存耗尽)：在内存分配过程中，若系统在更新计数与存储数据之间中断，清理程序可能错误处理未初始化的内存区域，导致服务器控制权旁落。
• 时间线与响应：
  • 10月20日：Hacker News出现漏洞预告，安全公司watchTowr确认漏洞存在。PHP基金会将原定22日的更新提前至21日晚10点（北京时间）。
  • 10月21日：安全公司Calif误发攻击演示视频，加剧风险。多家云厂商提前推送镜像，但大量管理员尚未获得更新包。荷兰数字身份系统、芬兰政府IT服务、美国BambooHR及日本Niconico等平台紧急下线。
  • 10月22日：PHP官方补丁正式推送。OpenAI认领漏洞发现贡献，并发布辅助检测工具。
• AI与安全现状：
  • 发现速度极快：相比以往需数月甚至数年的人工挖掘，AI模型能在数天内定位复杂漏洞入口。Anthropic数据显示，其模型在过去11个月内从开源项目中识别出近3万条漏洞线索。
  • 修复能力滞后：PHP基金会承认，相关内存问题早在2024年已有苗头，但因决策流程繁琐及人手不足（如Debian PHP维护者月赞助不足700美元），导致修复拖延两个月。这种“攻击加速、防守滞后”的局面标志着传统网络安全平衡已被打破。

值得关注

• 基础设施脆弱性：尽管PHP被视为过时语言，但仍支撑全球约70%的网站及大量政府、企业内部系统。此类底层基础软件的维护长期依赖少量志愿者或低预算团队，抗风险能力极弱。
• 技术伦理与挑战：AI降低了漏洞利用门槛，使得过去因成本高而被忽视的“沉睡”漏洞迅速暴露。社会面临如何在技术加速的同时提升人性克制与制度响应的挑战，即所谓的“红皇后困境”。