# AI 找到了七成网站共用的漏洞：PHP 紧急修补两个严重级缺陷，OpenAI 称同类发现会「急剧增加」
- 事件 ID：evt-20261022-01
- 日期：2026-10-22　截至：2026-10-22 08:30（北京时间）
- 证据等级：已证实、企业宣称、媒体报道
- 来自：https://www.newtoken.link/daily/2026-10-22#evt-20261022-01
为什么重要：这是第一次有一个能波及全球大部分网站的漏洞，被明确记在 AI 名下。漏洞本身并不新，相关代码在网上公开了十几年，难的是证明它真能被利用，这一步过去要顶尖研究员花几个月，现在被模型压缩了。它暴露的问题不在「发现」，在「修补」：补丁要经过维护者、发行版、托管商、网站运营方一层层传下去，8.1 以前的老版本根本没有官方补丁，而攻击者手里的模型同样能读懂这次公开的补丁。我的立场是，从现在起，网络安全的瓶颈从「找得到」变成「修得完」，谁能把补丁更快送到最后一台服务器，谁就掌握了这个行业的新价值。OpenAI 的 10 亿美元补贴和五步流程，本质上是在争夺这套新秩序的组织者位置。反方检验：评分 9.2 不等于大规模被攻破，WordPress 等主流托管平台多数会自动升级，Cloudflare 的提前拦截也覆盖了大量站点；「AI 发现」的叙事里，人类研究员的判断和 Calif、Wiz 的经验同样关键。
## 来源（10 条）
- [PHP 官方安全公告](https://www.php.net/archive/2026.php#2026-10-21-5)（已证实）
- [PHP 基金会：时间线与提前发布说明](https://thephp.foundation/blog/2026/10/21/todays-php-security-release-and-how-were-strengthening-php-security/)（已证实）
- [加拿大网络安全中心警报](https://www.cyber.gc.ca/en/alerts-advisories/al26-026-critical-vulnerabilities-impacting-php-cve-2026-109618-cve-2026-109619)（已证实）
- [OpenAI：Patch the Planet](https://openai.com/index/coordinated-disclosure-of-critical-vulnerabilities/)（企业宣称）
- [谷歌云安全博客](https://cloud.google.com/blog/products/identity-security/responding-to-core-php-vulnerabilities-cve-2026-109618-cve-2026-109619)（企业宣称）
- [Cloudflare 博客](https://blog.cloudflare.com/php-vulnerabilities-waf-protection/)（企业宣称）
- [路透：欧洲网站下线](https://www.reuters.com/technology/websites-taken-offline-over-php-risks-2026-10-21/)（媒体报道）
- [《华尔街日报》](https://www.wsj.com/tech/cybersecurity/ai-just-found-a-bug-that-puts-up-to-70-of-the-worlds-websites-at-risk-fd0902ea)（媒体报道）
- [Anthropic：用 Claude 缩小代码攻击面](https://www.anthropic.com/research/attack-surface-reduction)（企业宣称）
- [@OpenAI 帖文](https://x.com/OpenAI/status/2112907856018309586)（企业宣称）