漏洞

三家公司联合披露了这组漏洞｜图片来源：PHP2Shell

在防守侧，AI虽然同样能提升资产测绘、漏洞验证和异常检测的效率，但攻击是单点突破，防守是全面覆盖，AI对攻击侧的边际收益更大，攻击者只需找到一个入口，防守方却要守住所有资产。

OpenAI现已提出分阶段漏洞响应框架，涵盖漏洞验证与修复、提前通知受影响机构、协调政府部门、推动相关产品更新及发布修复指南等环节，并承诺提供10亿美元的Daybreak补贴访问资源，帮助安全资源有限的机构加强防护。

过去，发现程序漏洞需要一定的专业技术，而将漏洞转化为能够攻破系统的攻击工具，通常还需要经验丰富的技术人员花费数周甚至数月。

不仅发现漏洞所需的时间变了，攻击者将漏洞转化为攻击手段的速度也变了。

这些方向共同指向一个趋势：随着AI挖掘漏洞的能力不断增强，软件安全防御也需要向开发、验证和运行等更早、更深的环节延伸。

与此同时，开发平台Chainguard提前发布了包含补丁的二进制版本，这让攻击者得以通过对比代码差异反推出漏洞细节。

从漏洞确认、补丁开发，到安全测试、推动用户升级，每一个环节都需要相应的技术能力和维护资源。

360漏洞研究院专家向《每日经济新闻》记者表示，2020年，PHP就被报告存在内存耗尽问题；

前述360漏洞研究院专家也坦言，AI正在显著降低高危漏洞发现和利用的技术门槛。

2019年，360凭借漏洞研究领域的重要发现获得ThePwnieAwards“最佳提权漏洞奖”，成为该奖项设立12年来首个获奖的中国团队，实现中国安全研究力量在这一国际顶级舞台上的历史性突破。

二十余年来，360持续深耕漏洞研究、攻防对抗、网络空间测绘等关键领域，自主挖掘主流软件漏洞3000余个，多次获得微软、苹果、谷歌等国际科技企业漏洞奖励。

同时长期活跃于实战化漏洞研究一线，持续攻坚高价值漏洞挖掘技术。

OpenAI发现PHP重大安全漏洞，成为影响力最大的漏洞之一2026年10月22日06:21机器之心Pro编辑｜冷猫

当AI让「发现漏洞」变得越来越容易，如何让「修复漏洞」的速度跟上，可能才是整个软件行业接下来需要面对的更大挑战。

但OpenAI也提醒，随着模型能力一路爬升，发现漏洞与写出攻击工具之间的时间差正在被压缩，行业得从过去零散的漏洞处理方式，转向能快速协调维护者、服务商、企业和政府的系统化机制。

OpenAI在博文中写道，预计类似的AI发现安全漏洞的案例将在未来数月内「急剧增加」。

另据国家信息安全漏洞共享平台（CNVD）消息，10月21日，平台收录了PHP远程代码执行漏洞（CNVD-2026-41674、CNVD-2026-41675，对应CVE-2026-109618、CVE-2026-109619）。

Anthropic补充称，它预计其他机构将在至少18个月内更广泛地发布具有类似网络能力的人工智能模型，留给各国组织修补必要安全漏洞的时间非常有限。

复旦大学的赵明昊表示，中国现在敏锐地意识到了其数字基础设施中的脆弱性，很可能会希望加强国内人工智能系统的防御能力，更好地发现和修复安全漏洞。

OpenAI认为，这标志着一个新阶段的到来，AI能够发现具有互联网级影响的安全漏洞。

8月19日，Wiz的研究员借助自家工具WizAtlas、Google的Gemini4Argon和OpenAI的GPT-5.6Sol，独立发现了第一个漏洞。

8月11日，Calif把漏洞报告给了PHP：团队让AI把第一个漏洞的「模式」总结成一份可复用的技能文件，专门用来搜寻同一类缺陷。

AI找到一个漏洞之后，可以把找到它的方法打包，再去找下一个。

按照Calif公开的技术文章，AI在这次审计里是「审计搭档」，也是agent：它梳理PHP内核代码、追踪程序的执行路径，第一个漏洞的关键缺陷，就是agent在内核代码里发现的。

漏洞分类和协调披露由HackerOne负责，漏洞发现由OpenAI内部安全研究团队Calif执行，AI辅助分析和补丁开发则依托CodexSecurity工具链。

从5月份以来，微软修复漏洞的速度已经跟之前不可同日而语了，6月份修复了206个漏洞，当时还是史上规模最大的，但现在已经不能看了，最近2-3个月都是600-900级别的，这次的1411直接创纪录了。

微软能这么高效率挖掘漏洞、修复漏洞，当然不可能完全指望程序员古法测试了，而是引入了全新的AI项目，5月份之后开始都是靠AI哇漏洞修漏洞。

让AI汇总了一下5月份以来的漏洞修复，半年来合计3667个漏洞修复，其中严重级别的漏洞就有326个，现在的Win11系统可以说是史无前例的安全了。

中国品牌路由器爆严重安全漏洞-信息时代-万维读者网（电脑版）中国品牌路由器爆严重安全漏洞

美国资安单位近日发出重大安全警示，指出中国网通品牌腾达（Tenda）多款路由器（Router）存在高风险安全漏洞，攻击者可利用隐藏的身分验证后门，直接绕过使用者自行设定的帐号与密码，取得最高管理员权限，进一步控制家庭网络，甚至透过窜改DNS设定，将使用者导向钓鱼网站，造成个资外泄或信用卡遭盗刷等风险。

外部评估戳穿OpenAI监控漏洞：智能体数百次操作逃过审查2026-10-2309:28·

“我们的判断是，单纯提升漏洞挖掘能力去拉平差距不现实，靠AI原生安全能力单点突破也不现实，最可行的路径是加快网络安全体系的整体升级，从‘追着漏洞跑’转向‘带着漏洞防守’。

但长期看，防御方同样可以用AI加快漏洞挖掘、风险排查和修复验证。

在真实项目审计中，该技术发现22个此前未披露的安全漏洞，展现出AI自动化漏洞挖掘的实战能力。

继2025年相关研究成果获得ASE杰出论文奖后，360再次凭借AI安全技术创新获得国际学术关注和认可，体现了其在智能化漏洞挖掘领域持续深入的技术积累。

汪列军认为，对网络安全企业来说，最需要补齐的是“带着漏洞防守”的体系化能力，而不是单一漏洞挖掘工具。

7月25日，研究人员在通过PR验证权限后停手，窃取了OpenAI提交了漏洞报告。

财联社10月22日讯PHP高危漏洞信息于当地时间20日提前外泄，该漏洞已潜伏十余年，全球大量网站面临攻击风险，多国政府紧急关停网站避险。

媒体援引电商网站安全公司Sansec分析指出，此次出问题的代码可追溯至2012年发布的PHP5.4.0版本，且默认配置即存在风险，这意味着漏洞已潜伏十余年。

而可控写入类漏洞奖金最高可达20,000美元（现汇率约合13.4万元人民币）。

过去数月，谷歌已对漏洞奖励计划（VRP）作出多项调整，包括5月下调Chrome漏洞奖金、7月借助AI提升Chrome安全性。

高影响力漏洞奖金最高20,000美元（现汇率约合13.4万元人民币）。

“AI正在把漏洞发现从‘手工作坊’推向‘流水线生产’。

这也暴露出一个值得追问的问题：当AI加速漏洞发现、开源基础设施老化与集中化信任风险三者交汇时，现有的互联网防御体系还能否完美承受这种集中压力测试？

当AI不断加快漏洞发现的速度，整个软件安全体系的响应能力，也将面临新的考验。

驱动漏洞发现正在加速”的旁证。

进入AI时代，360基于多年积累的安全数据、攻防经验和工具体系，推出AI安全攻防系统“图龙锋”和自动化防御系统“仪天阵”，将安全大模型与专业智能体蜂群深度融合，实现漏洞发现、分析验证和风险研判的智能协同。

为此，OpenAI端出了一套面向严重漏洞的协调响应框架，分五步走。

这次PHP漏洞事件，是OpenAI用"PatchthePlanet"对AI时代漏洞协调披露机制的一次实战演练。

谷歌在一篇博客文章中公布了全新奖金档位与漏洞分类。

在产能层面，一个人借助AI，就能完成过去一个小团队才能做的一部分工作，漏洞分析和攻击准备的效率都明显提升。

随着模型能力的提升，极小规模的安全团队也能逐渐感受到复杂的漏洞分析与环境模型，以往限制攻击的工作规模和资金正在迅速降低。

但就在补丁发布前一天，也就是当地时间20日，漏洞信息在网上提前泄露，PHP安全团队被迫确认并公布发布时间，黑客趁机抢在补丁上线前数小时发起攻击。

按照行业惯例，漏洞信息在修复正式推出前必须严格保密，提前公布只会刺激黑客加速利用自动化工具和代理程序挖掘攻击路径。

或许11、12月还有力大砖飞的数量突破，每月修复2000-3000漏洞

快科技10月22日消息，日前，腾讯云发布PHP“php2shell”远程代码执行漏洞风险通告， 披露PHP存在两个远程代码执行漏洞

OpenAI 在10月21日扔出一份公告，把一次由 AI 牵头发现、跨越多国机构和企业协同处理的 PHP 漏洞修复全过程摊开给外界看

漏洞「偷跑」，也倒逼 PHP 基金会在昨晚 10 点提前发布正在筹备的紧急安全补丁

2026 年 10 月补丁星期二活动主要修复以下漏洞

这两天大家应该都收到10月份的周二补丁了吧，Windows 11 24H2/25H2/26H系统上的编号为KB5127648，带来的新功能不算多， 但修复的安全漏洞有1411项

据科技媒体 Bleeping Computer 今天报道，远程桌面软件 TeamViewer 被曝存在多个高危漏洞，官方已着手修复

OpenAI称安全公司Calif早在8月就用GPT-5.6 Sol发现了漏洞，而另一家安全公司Wiz用了Gemini 4 Argon和GPT-5.6 Sol也独立发现了漏洞，OpenAI牵头协调开发者与安全公司修复

自2026年6月启动以来，OpenAI牵头组建了一个由维护者、研究人员和安全服务商组成的联盟，协调对PHP漏洞的修复

微软修复漏洞的速度已经跟之前不可同日而语了，6月份修复了206个漏洞

6月份修复了206个漏洞

微软能这么高效率挖掘漏洞、修复漏洞，当然不可能完全指望程序员古法测试了，而是引入了全新的AI项目，5月份之后开始都是靠AI哇漏洞修漏洞

5月份之后开始都是靠AI哇漏洞修漏洞

从5月份以来，微软修复漏洞的速度已经跟之前不可同日而语了

让AI汇总了一下5月份以来的漏洞修复

协同披露约定被单方面打破，攻击者可逆向定位漏洞，倒逼多国政府网站预防性下线。

此外，苹果还修复了超过30项WebKit漏洞和约15个内核漏洞，进一步降低网页攻击与系统级入侵风险。

前述360漏洞研究院专家也坦言，AI正在显著降低高危漏洞发现和利用的技术门槛。

随着模型能力的提升，极小规模的安全团队也能逐渐感受到复杂的漏洞分析与环境模型，以往限制攻击的工作规模和资金正在迅速降低。

据介绍，攻击者无需身份验证，即可通过发送特制的multipartPOST请求触发漏洞，造成内存破坏，最终实现远程代码执行，严重情况下可能导致服务器被完全控制。

腾讯云指出，攻击者成功利用上述漏洞后，可以Web工作进程账户的身份执行任意代码，可能造成服务器完全沦陷、敏感数据泄露或恶意软件植入等后果。

全球广泛使用的PHP程式语言爆出两项严重安全漏洞，可能对全球网络造成重大冲击。

"PatchthePlanet"项目则汇总漏洞公开信息和防护指南，帮管理员找到权威补丁、核对临时缓解措施、确认更新是否真正落地。

第一步，维护者、研究人员和关键技术伙伴共同验证漏洞、评估影响、开发并测试修复，还得以先进模型做对抗性测试，确认补丁真能拦住攻击、并顺藤摸瓜找出其它可能被利用的变体;

二十余年来，360持续深耕漏洞研究、攻防对抗、网络空间测绘等关键领域，自主挖掘主流软件漏洞3000余个，多次获得微软、苹果、谷歌等国际科技企业漏洞奖励。

网络安全公司ArmorCode的资深首席解决方案工程师拉米·拉赫曼也指出：“披露的漏洞越来越多，并不意味着成功发动的网络攻击必然随之增加。

OpenAI在博文中写道，预计类似的AI发现安全漏洞的案例将在未来数月内「急剧增加」。

OpenAI表示，PHP漏洞只是其发现的多个重大漏洞之一，并预计类似发现将大幅增加。

尽管这些漏洞影响重大，但它们只是我们已经发现并正在着手修复的多个重要漏洞中的一部分，而我们预计，未来几个月类似发现的数量将大幅增加。

安全研究人员在一款广泛使用的编程语言PHP中发现了重大漏洞，各国政府和公司随即匆忙保护自己的网站。