如果你用WordPress或其他PHP程序运营网站，今天这篇文章值得多看一眼。OpenAI披露了AI辅助发现PHP重大漏洞的过程，PHP官方也已发布修复版本。对站长来说，眼下最重要的事，是确认网站实际使用的PHP有没有装上补丁。

谁发现了漏洞，谁负责修复

OpenAI表示，安全研究团队Calif在Patch the Planet计划中，使用GPT‑5.6 Sol发现了一项重大漏洞；Wiz也独立发现并报告了两项漏洞。修复工作由PHP维护者主导，OpenAI和其他合作方参与研究、技术支持与协调。

这次公告的对象是PHP，没有说OpenAI自己的系统被攻破。PHP用得广，也不代表使用它的网站都已被黑：公告确认了漏洞和修复措施，具体网站是否遭到入侵，还需要另外调查。

为什么只更新网站插件还不够

PHP官方确认，两项漏洞可能导致未经身份验证的远程代码执行，编号分别为CVE-2026-109618和CVE-2026-109619，CVSS v4.0评分均为9.2。简单说，在满足利用条件时，攻击者可能不需要登录网站，就能以Web工作进程的权限在服务器上运行代码，并不等于自动获得系统最高权限。

两项问题都涉及PHP内部处理请求与内存状态的方式：一项与内存不足时的异常处理有关，另一项与请求结束后未被妥善清理的状态有关。问题出在PHP本身，单靠更新WordPress插件无法修复。

PHP的风险提示涵盖用来处理网站请求的运行环境，包括PHP-FPM、Apache mod_php、php-cgi、FrankenPHP和LiteSpeed。官方认为mod_php风险最高，但不同运行方式、配置和应用代码会影响具体利用路径。看到自己使用FPM，也不应直接认定安全。

补丁已经有了，先核对运行中的版本

PHP官方发布的修复版本是8.5.12、8.4.27、8.3.36和8.2.35。使用这些分支的站点，应按官方或系统发行商的指引尽快安装对应更新。

这里有个容易忽略的区别：服务器上安装了新软件包，不一定代表网站已经用上它。核查时，应确认实际处理网站请求的PHP运行环境，并按服务商或运维流程完成必要的进程重启、重新部署与验证。命令行显示的版本也未必就是网站使用的版本。

如果用的是托管主机，可以直接问服务商：这两个CVE是否已经修复，补丁是否覆盖我的站点，以及更新是否已经生效。与其只问“你们是不是最新版”，这种问法更容易得到明确答案。

旧版本也不能只看数字判断。PHP 8.1及更早版本已不再获得PHP项目的常规支持，一些Linux发行版或长期支持厂商可能提供回移补丁。PHP安全团队这次也为7.4、8.0和8.1提供了有限的源码回移补丁，但这不代表恢复常规支持。可以请服务商确认：当前系统能否通过更新软件包或应用源码补丁来修复？如果没有可用渠道，就需要尽快迁往受支持版本。

升级要尽快，也要留出恢复办法

对仍在运营的网站，我们建议把这次更新列为紧急维护事项，同时保留可恢复的文件与数据库备份，确认关键插件、扩展和业务流程的兼容性。完成更新后，再检查登录、表单、支付等自己网站真正依赖的功能。备份和验证是为了降低维护风险，不应成为无限期拖延补丁的理由。

PHP官方也列出了临时缓解办法，但也明确说明，这些办法不能完整修复漏洞。有些配置调整会影响上传、内存使用或服务可用性，不适合脱离环境直接照抄。暂时无法升级时，应让服务商或负责运维的人结合实际部署处理，并明确后续补丁计划。

OpenAI还提到将推出配套的Codex检查技能。它目前仍是预告，站长没有必要等这个工具上线才开始核查。

AI辅助发现底层软件漏洞，是这条新闻最引人注意的部分。对站长来说，更要紧的是让修复真正用在服务器上。如果不确定网站是否依赖PHP，先问清后端和相关服务的技术栈；这条公告并不意味着所有网站都受影响。

本文依据截至2026年10月21日的公开公告整理，未对具体网站进行漏洞测试。