OpenAI 於二〇二六年十月二十一日公布「Patch the Planet」協調行動：過去約兩個月，該公司與維護者、研究員及保安供應商聯手處理 PHP 臨界漏洞；其 Calif 團隊以 GPT‑5.6 Sol 發現其中關鍵缺陷，Wiz 亦獨立發現並通報兩項漏洞。PHP 維護者主導修復與發布，OpenAI、Wiz、Cloudflare 等協助測試、防護與披露前協調。源碼已釋出 8.5.12、8.4.27、8.3.36 與 8.2.35。來源真實性已驗證，以 OpenAI 官方專頁與 php.net 保安通告為準。

OpenAI／官方：Patch the Planet 協調披露 PHP 臨界漏洞——Calif／GPT‑5.6 Sol 發現；8.5.12 等已釋出；倡議 AI 時代應變框架

開源語言一旦出現可在應用程式碼執行前觸發的遠端程式碼執行路徑，影響面往往橫跨內容管理系統、電商與企業內網入口。今日重點不是「又有漏洞傳聞」，而是官方已完成披露協調、修補版本已公開，並由模型供應商提出一套面向人工智能時代的臨界漏洞應變框架。以下依 OpenAI 專頁與 PHP 官方通告整理可核實事實，供香港與亞洲營運團隊對照自身主機與供應鏈。

一、核心事件：誰發現、誰修復、何時公開

根據 OpenAI 二〇二六年十月二十一日官方專頁《Patch the Planet: global response coordination as agents uncover critical vulnerabilities》：

• 過去約兩個月，OpenAI 帶領維護者、研究員與保安供應商聯盟，處理 PHP 這門廣泛用於網站與網頁應用的開源語言中的臨界漏洞。
• Calif 在「Patch the Planet」計劃下，以 GPT‑5.6 Sol 辨識出其中一項關鍵缺陷；Wiz 亦獨立發現並通報兩項漏洞。
• PHP 維護者主導修復與版本發布；OpenAI 團隊與 Wiz、Cloudflare 等夥伴提供研究、技術支援，並在公開披露前準備防護。
• OpenAI 強調：就其所知，前沿人工智能在攻擊者之前發現這些漏洞，為維護者與保安供應商爭取「防衛者窗口（Defender's Window）」以準備修補與防護。
• 對仍使用 PHP 的機構，當務之急是套用修補；OpenAI 已分享 PHP 版本檢查工具，並表示將推出配套 Codex skill，協助營運端辨識可能受影響的 PHP 版本，再對照 PHP 與供應商指引決定升級路徑。
• OpenAI 同時提出適用於人工智能時代、針對廣泛使用軟體臨界漏洞的應變框架草案，並邀請保安社群協助改進；另述及透過 Daybreak for Frontline Defenders 提供補貼接達，聚焦資源有限、卻守護關鍵服務的防衛組織（金額與既有 Daybreak 防衛承諾敘述一致，本文不作新融資解讀）。

PHP 官方於同日（二〇二六年十月二十一日）在 php.net 新聞存檔發布《Security advisory: Critical remote code execution vulnerabilities, update now》，與上述協調披露對齊：

• 修補版本：PHP 8.5.12、8.4.27、8.3.36、8.2.35。
• 漏洞代號：CVE-2026-109618（經記憶體耗盡／OOM 處理路徑導致的遠端程式碼執行）、CVE-2026-109619（陳舊全域狀態導致的遠端程式碼執行）；並附對應 GitHub Security Advisory 識別碼。
• 風險對象：所有對外提供網頁請求的 PHP 安裝，包括 PHP-FPM、Apache mod_php、php-cgi、FrankenPHP 與 LiteSpeed 等；官方指 mod_php 風險最高，並指已有示範利用可在任何應用程式碼執行前、以未認證請求觸發攻擊。
• PHP 8.1 及更舊版本已不再由 PHP 專案提供更新；部分發行版／LTS 供應商可能提供反向移植，否則應升級至受支援版本。官方亦為從原始碼建置或缺乏 LTS 供應商的用戶，提供 7.4／8.0／8.1 的最小原始碼反向移植。
• 官方強調只有更新才是完整解法；若無法立即更新，通告另列降低特定攻擊路徑暴露的臨時措施（例如以管理員層級把 memory_limit=-1、調低 post_max_size 等），並明確寫明這些措施不能令安裝變得安全。

Cloudflare 同日說明其參與協調防護，並指漏洞亦以 php2shell 為人所知、追蹤上述兩個 CVE；該公司另文介紹以「完整交易偵測」部署相關 WAF 防護。本文以 OpenAI／PHP 披露與修補為主軸，不重複展開已另稿處理的 WAF 產品細節。

二、技術細節：兩條遠端程式碼執行路徑與協調階段

1. CVE-2026-109618：OOM 路徑上的請求資料損壞

PHP 通告指：記憶體耗盡處理可能在內部請求資料僅部分初始化時打斷 PHP；隨後的請求清理或會把無效資料當成有效處理，從而開出遠端程式碼執行路徑。臨時緩解方向包括避免應用可覆寫的有限 memory_limit、限制 POST 大小等，但官方重申底層配置失敗仍可能觸及脆弱路徑。

2. CVE-2026-109619：請求級狀態跨請求殘留

通告指：屬請求擁有的內部狀態，可能在其底層記憶體已釋放後仍然殘留；稍後由同一 worker 處理的請求，或會在正常初始化重設之前使用該陳舊狀態，同樣可導致遠端程式碼執行。

3. OpenAI 提出的五階段應變框架（草案）

OpenAI 專頁把「大規模共用軟體」臨界漏洞的理想流程概括為：

1. 驗證並修復上游漏洞——維護者、研究員與必要技術夥伴確認發現、評估影響、開發並測試修補；包括用前沿模型做對抗測試，尋找繞過與變體。
2. 讓受影響組織有時間行動——在維護者決定參與名單的前提下，考慮哪些組織需要提前資訊以準備防護（發行版適配舊版、託管商測試緩解、保安商準備偵測／WAF 規則等）。
3. 與政府夥伴協調以保護關鍵系統——OpenAI 稱就 PHP 一案，與夥伴協作接觸美國政府多個單位，包括白宮 Super Intelligence Force、國家網絡總監辦公室（ONCD）、網絡安全暨基礎設施安全局（CISA），以及國際夥伴。
4. 在受影響產品線準備更新——修補、指引與披露計劃穩定後，再擴大通知發行商、託管與服務商、應變團隊與營運端。
5. 修補可用後公開指引並支援部署——協助評估暴露面、找到權威更新或臨時緩解，並確認修補已實際運行。

專頁亦討論披露窗口、緊急修補權限、提前通知範圍，以及「預設更安全」套件等開放問題，徵求維護者與應變團隊回饋。讀者應把該框架理解為倡議草案，而非已立法或強制標準。

三、日常應用場景

1. 開發者與網站營運

立即核對正式環境、預備環境與映像內的 PHP 小版本是否已達 8.5.12／8.4.27／8.3.36／8.2.35（或發行版已合併同等修補）。WordPress、Laravel、Magento 等堆疊只要底層仍是脆弱 runtime，應用層外掛更新不能替代語言 runtime 升級。使用 mod_php 的主機應優先排程；容器與 PaaS 則應向映像維護者索取含修補的標籤，並重部署而非只重啟程序。

2. 企業資安與供應鏈

把「自有主機／外包主機／SaaS 背後是否跑 PHP」列入資產盤點：虛擬主機面板、代理商共享主機、行銷登陸頁與舊內網入口常被遺漏。可把 OpenAI 提供的版本檢查思路與既有 CMDB／掃描器對接；WAF 與邊緣規則屬縱深防禦，官方與 Cloudflare 均提醒不能取代套用修補。若曾對外暴露且延遲修補，應依自身事件應變程序評估是否需要取證與憑證輪替——本文不臆測是否已有大規模在野利用。

3. 一般中小企與代理維護站點

香港大量中小企網站由代理以共享主機或單機 VPS 維護。營運負責人應要求託管商書面確認 PHP 小版本與更新日期，而不是只問「有沒有開防火牆」。無法立即升級時，可暫時採取 PHP 通告列明的緩解項，同時把正式升級訂為有時限的變更單；臨時措施的限制須向業務負責人說清楚。

4. 香港與亞洲市場視角

區內內容站、會員系統與中小電商仍高度依賴 PHP 生態。本次由模型輔助發現、跨維護者／雲端防護／政府協調的披露節奏，意味著「零日窗口」可能同時縮短（防衛端更快）與複雜化（攻擊端同樣可用模型加速利用）。在港企業若把對外網站、客戶門戶或合作夥伴 API 閘道放在自管 Linux／面板主機，應把本次升級納入變更窗口，並檢視備份與還原演練是否可在緊急修補後快速驗證服務可用。需要把主機加固、WAF／零信任與持續監控一次理順時，可對接專業雲端遷移與網絡安全服務，而不是只依賴單次手動升級。

四、專業評價與潛在考量

值得肯定

• 雙線可核實：OpenAI 說明發現與協調角色，PHP 官方給出 CVE、受影響元件與精確小版本，營運端可直接執行。
• 清楚區分「模型輔助發現／防衛者窗口」與「修補仍須維護者與營運端落地」，避免把人工智能敘事誤讀成自動替全網打補丁。
• 提出可討論的五階段框架，並點名與政府網絡機構的協調角色，有助大型託管與關鍵基建組織對照自身提前通知機制。

需要留意

• OpenAI 對「攻擊者尚未先發現」屬其「就其所知」表述，並非獨立取證結論；防衛部署仍應假設披露後探測與利用會上升。
• Daybreak 補貼接達屬既有防衛計劃脈絡下的承諾陳述，不應理解為本次才首次宣布的全新融資事件。
• PHP 8.1 及更舊分支的支援邊界、發行版套件時差，以及共享主機供應商更新節奏，可能造成「通告已出、帳戶仍未升」的落差。
• 臨時配置緩解明確不足以視為安全；把 WAF 命中當成「已修好」是常見誤判。
• 本環境對 openai.com 部分路徑以 curl 曾得 HTTP 403，正文以 WebFetch 可讀全文與 php.net／Cloudflare HTTP 200 頁交叉核對；轉載請以官方頁面為準並保存時間戳副本。

結語

PHP 臨界遠端程式碼執行漏洞已由維護者釋出修補版本，OpenAI 則公開其 Patch the Planet 協調過程與人工智能時代應變框架草案——對仍對外提供 PHP 服務的機構，可驗證的下一步只有盡快升級並確認版本生效。若你的香港或亞洲業務需要把主機加固、邊緣防護、備份復原與持續監控納入同一套雲端遷移與網絡安全方案，可參考 YSK 的雲端遷移與網絡安全服務，由工程團隊協助盤點 runtime、排程緊急變更並驗證上線後狀態。

參考來源

1. OpenAI, “Patch the Planet: global response coordination as agents uncover critical vulnerabilities”, 2026-10-21, https://openai.com/index/coordinated-disclosure-of-critical-vulnerabilities
2. PHP.net, “Security advisory: Critical remote code execution vulnerabilities, update now”, 2026-10-21, https://www.php.net/archive/2026.php#2026-10-21-5
3. Cloudflare, “Cloudflare deploys protections against php2shell vulnerability”, 2026-10-21, https://blog.cloudflare.com/php-vulnerabilities-waf-protection/
4. Cloudflare, “Introducing full transaction detection for Cloudflare WAF”, 2026-10-21, https://blog.cloudflare.com/full-transaction-waf/