PHP史诗级漏洞，重申AI安全！

事件：OpenAI就PHP软件中发现的严重漏洞发表声明，指出鉴于漏洞的严重性和PHP的广泛使用，这是近期影响最大的漏洞之一。OpenAI承诺通过其“Daybreak for Frontline Defenders”计划，提供价值10亿美元的补贴访问额度，以支持防御者。

23:08【腾讯云发布PHP "php2shell" 远程代码执行漏洞风险通告】腾讯云安全中心监测到，PHP 被披露其存在远程代码执行漏洞，漏洞编号分别为CVE-2026-109618, CVE-2026-109619，代号 "php2shell"。可导致未经身份验证的远程攻击者通过发送特制的 multipart POST 请求，触发内存破坏并最终实现远程代码执行，从而完全控制服务器等危害。腾讯云安全建议您及时开展安全自查，如在受影响范围，请您及时进行更新修复，避免被外部攻击者入侵。

调研信息（①②）：

①❗AI发现波及全球约七成网站的PHP史诗级漏洞，重申看好AI安全！【天风计算机 缪欣君团队】

相关标的：
白马：深信服、绿盟科技、网宿科技、奇安信、安恒信息、启明星辰
黑马：亚信安全、盛邦安全、ST信安、格尔软件

1、#AI首次发现史诗级漏洞，波及全球约七成网站10月21日PHP官方紧急发布安全更新，修复两个免登录远程代码执行漏洞（CVE-2026-109618/109619，CVSS最高9.2，其中一条含类Heartbleed内存泄漏）。据OpenAI披露，漏洞系其安全研究团队借助前沿模型审计PHP代码库发现，被OpenAI称为#近年来最重大的安全漏洞事件之一。根据W3Techs数据，#PHP占所有已知服务端语言网站的69.3%，且官方补丁仅覆盖PHP 8，海量存量版本无补丁可打；根据路透社，漏洞细节遭提前泄露，#多国政府网站被迫主动下线应急，FBI网络部门、CERT-EU接连发布警告。
2、AI重构攻防节奏，安全响应窗口被急剧压缩
AI把漏洞发现从月压缩到天甚至小时级，本次从发现到披露尚属负责任实践，但一旦攻击者手里也有AI，从发现到武器化将以小时计。除php外，近期催化密集：9/15 CrowdStrike《全球威胁报告》披露AI驱动的攻击同比+89%；10/9 AI智能体ARTEX因参与真实网络攻击被紧急转闭源；9/29白宫《超级智能协议》要求模型公司引入独立外部安全评估 。
3、国内AI安全订单逐季加速，重申#大时代 AI安全
国内来看，9月中旬国家互联网应急中心公布2026年人工智能大模型安全众测结果，2467名白帽子对国内25家厂商的54款大模型及智能体产品开展测试，累计发现#873个安全漏洞（其中AI特有漏洞占比达70%），涉及越权访问、代理身份滥用等。国内头部网安公司持续放量，按季度加速，参考北美路径，AI安全需求从政企侧向模型侧扩容。
欢迎交流！ 缪欣君/王祺深

②【dcjsj】PHP漏洞事件简评

#简述来龙去脉2012年埋下的老漏洞，今年8-9月被oai在内的几家公司【利用AI】先后发现，10月20日提前曝出，各官方警示，php官方发布漏洞。
#漏洞危害利用好漏洞，可远程操控服务器，偷/删/改数据，DDOS，改页面诈骗/病毒等。
#哪些可能受影响oai说全球70%网站搭建都用到php。中小企业网页版简单系统(ERP/OA/HR)、地方政府下级机构(政府、事业单位)二级网站、小电商网站都可能是老版本php运行。#应对办法php官方紧急发布8.2x后的安全版本。除了升级，网安手段：1. WAF/身份认证/零信任(保安拦人)、2. EDR端点安全(进来了抓人)、3.扫描/恢复/备份(受伤了再医)…
#美股代表反馈-明早看收盘WAF: NET；身份认证:OKTA；零信任:ZS；EDR: CRWD/黑莓；漏洞扫描:PANW；备份:RBRK。仅列代表企业，业务有重合。#短受益逻辑1.不代表升级到安全版本就没事，8.1x前的版本官方没有补丁，这正是中小客户省钱一直总的老网站；2.原来有了安全不代表没事，以WAF为例，cloudflare产品有free/专业/商业/企业定价，从免费到上千美金不等，WAF防护水平与功能有显著差异。国内如网宿WAF与CDN业务毛利率天差地别，收入仅一半。
#长受益逻辑此次漏洞发现有AI辅助加速，AI可能会加速各种问题的发现或被利用。
A股同类…WAF:网宿、绿盟；身份认证:亚信安全；零信任:深信服；EDR:奇安信；漏洞扫描:启明星辰；备份:英方。仅列代表企业，A股业务重合度更甚。国内很多网安公司的客户都会受此影响，短期博弈不谈，长期确有望提升对安全重视度。

作者声明： 本文转载自第三方，旨在提供资讯参考，并非证券推荐或投资建议。作者对内容的真实性、准确性不承担保证责任。本文不构成任何投资建议或证券推荐。截至发文日，作者与文中提及的标的不存在持仓关系。