如果你用WordPress或其他PHP程式經營網站，今天這篇文章值得多看一眼。OpenAI公開了AI協助發現PHP重大漏洞的過程，PHP官方也已發布修補版本。對網站經營者來說，眼前最重要的事，是確認網站實際使用的PHP是否已套用修補程式。

誰發現漏洞，誰負責修補

OpenAI表示，資安研究團隊Calif在Patch the Planet計畫中，使用GPT‑5.6 Sol發現了一項重大漏洞；Wiz也獨立發現並通報了兩項漏洞。修補工作由PHP維護者主導，OpenAI與其他合作夥伴則參與研究、技術支援和協調。

這次公告談的是PHP，沒有說OpenAI自己的系統遭到入侵。PHP使用普遍，也不代表使用它的網站都已被駭：公告確認了漏洞和修補措施，個別網站是否遭入侵，仍需另外調查。

為什麼只更新網站外掛還不夠

PHP官方確認，兩項漏洞可能讓未經身分驗證的攻擊者遠端執行程式碼，編號為CVE-2026-109618和CVE-2026-109619，CVSS v4.0評分均為9.2。換句話說，在符合利用條件時，攻擊者可能不必登入網站，就能以Web工作程序的權限在伺服器上執行程式碼，但不代表自動取得系統最高權限。

兩項問題都涉及PHP內部處理請求與記憶體狀態的方式：一項與記憶體不足時的例外處理有關，另一項則與請求結束後未妥善清除的狀態有關。漏洞位於PHP本身，因此單靠更新WordPress外掛無法解決。

PHP的風險提醒涵蓋用來處理網站請求的執行環境，包括PHP-FPM、Apache mod_php、php-cgi、FrankenPHP和LiteSpeed。官方認為mod_php風險最高，但具體利用途徑仍會受到執行方式、設定和應用程式影響。看到自己使用FPM，也不應直接認定安全。

修補版本已發布，請確認網站真的用上了

PHP官方發布的修補版本為8.5.12、8.4.27、8.3.36和8.2.35。使用這些分支的網站，應依官方或作業系統發行商的指引，盡快安裝對應更新。

這裡有個容易忽略的差別：伺服器裝了新套件，不一定代表網站已經開始使用它。確認時，應以實際處理網站請求的PHP執行環境為準，並依服務商或維運流程完成必要的程序重啟、重新部署與驗證。命令列顯示的版本，也未必就是網站使用的版本。

如果使用代管主機，可以直接問服務商：這兩個CVE是否已修補，修補範圍是否包含我的網站，以及更新是否已經生效。比起只問「是不是最新版」，這樣更容易拿到明確答案。

舊版本也不能只看數字判斷。PHP 8.1及更早版本已不再獲得PHP專案的常規支援，但部分Linux發行版或長期支援廠商可能提供回移修補。PHP資安團隊這次也為7.4、8.0和8.1提供了有限的原始碼回移修補，但不代表恢復常規支援。可以請服務商確認：目前的系統能否透過更新套件或套用原始碼修補來處理？如果沒有可用途徑，就需要盡快遷移到仍受支援的版本。

盡快更新，也要保留復原的餘地

對仍在營運的網站，我們建議將這次更新列為緊急維護事項，同時保留可還原的檔案與資料庫備份，確認重要外掛、擴充功能與業務流程的相容性。更新後，再檢查登入、表單、付款等網站實際依賴的功能。備份與驗證是為了降低維護風險，不應成為無限期延後修補的理由。

PHP官方也提供了暫時緩解方式，但也明確指出，這些措施無法完整修補漏洞。部分設定調整會影響上傳、記憶體使用或服務可用性，不適合不看環境就直接套用。暫時無法更新時，應由服務商或維運人員依實際部署處理，並確認後續的修補時程。

OpenAI另外提到，將推出配套的Codex檢查技能。目前這仍是預告，沒有必要等工具上線才開始確認。

AI協助找出底層軟體漏洞，是這則新聞最受矚目的部分。對網站經營者而言，更重要的是讓修補真正用在伺服器上。如果不確定網站是否依賴PHP，先問清楚後端與相關服務使用哪些技術；這份公告不代表所有網站都受影響。

本文依截至2026年10月21日的公開公告整理，未對個別網站進行漏洞測試。