知识卡片：GPT-5.6 Sol 挖出 PHP 两大高危漏洞，波及十余年版本

一句话结论

OpenAI 称其模型 GPT-5.6 Sol 在“Patch the Planet”计划中发现 PHP 两个未经认证远程代码执行漏洞“PHP2Shell”（CVSS v4.0 评分 9.2），影响 PHP 5.4 至 8.5 版本；PHP 官方于 10 月 21 日发布 8.5.12 等四个安全更新，Wiz 亦独立发现同一问题。

事件概述或研究问题

• 报道称 OpenAI 将 GPT-5.6 Sol 用于安全漏洞挖掘（“Patch the Planet”计划），宣称发现 PHP 的两个高危漏洞，命名为“PHP2Shell”。
• 漏洞性质为未经认证的远程代码执行（RCE），CVSS v4.0 评分 9.2。
• 安全公司 Wiz 独立发现了同一问题，构成交叉验证线索（具体细节待核实）。
• 披露前一天消息泄露，CISA、NSA 等机构发布紧急警告；维基媒体及《赛马娘》等多款日本游戏暂时停服。

方法/产品要点

• 模型侧：GPT-5.6 Sol（OpenAI GPT-5.6 家族旗舰款）被用于漏洞发现，属于“AI 参与网络安全研究”的应用案例。
• 漏洞侧：报道指漏洞涉及 PHP 的内存管理与错误处理机制。
• 影响范围：PHP 5.4 至 8.5 版本，时间跨度十余年。
• 修复侧：PHP 官方 10 月 21 日发布 8.5.12 等四个安全更新（其余版本号待核实）。
• 应急侧：CISA、NSA 发布紧急警告；部分大型站点与游戏服务临时停服。

主要结果或产业意义

• 若报道属实，这是大模型在真实基础软件（PHP 这类广泛部署的运行时）中发现可利用高危漏洞的公开案例，且严重度接近最高档（9.2/10）。
• 漏洞波及十余年版本，意味着存量系统的修复压力大、暴露面广，可能引发一轮集中补丁与应急响应。
• 双发现（OpenAI 模型与 Wiz）在一定程度上降低了“单一来源误报”的疑虑，但双方方法细节与时间线仍待核实。
• 对 AI 安全叙事的增量：此前相关卡片多聚焦 GPT-5.6 的价格、可用性与准确率改进；本条补充的是“模型被用于漏洞挖掘并产出高危结果”的产业应用维度。

为什么重要

• 对基础设施：PHP 仍是大量网站与内容管理系统的基础运行时，未经认证 RCE 属于最高风险类别，波及版本范围广意味着修复窗口紧张。
• 对 AI 产业：为“AI 辅助网络安全”提供可引用的标志性案例，也会加剧关于“AI 双用途（攻防）”的讨论。
• 对披露机制：披露前一天消息泄露、监管机构紧急警告、服务临时停服，说明高危漏洞的信息管控与应急协同仍是薄弱环节。
• 与既有脉络的关系：既有卡片记录的是 GPT-5.6 家族的商业与产品动态（降价、免费开放、Fast mode、准确性改进）；本条是其能力外溢到安全研究场景的进展，属于同一模型家族的另一类证据，而非重复事实。

局限与不确定性

• 漏洞技术细节（具体触发路径、内存管理/错误处理的具体缺陷类型）来源于转述，待核实。
• “GPT-5.6 Sol 发现”与“Wiz 独立发现”的先后顺序、是否存在共享线索，材料未说明，待核实。
• 四个安全更新的完整版本号清单、各版本修复范围，待核实。
• 停服影响的具体规模（维基媒体受影响范围、日本游戏名单与停服时长）待核实。
• CVSS v4.0 9.2 的评分向量与打分方，待核实。
• 本条为二次转述（腾讯研究院 AI 速递汇总），原始技术公告与 OpenAI/Wiz 官方博客未在材料中给出，待核实。

可用于图书/PPT/简报的角度

• “AI 发现基础软件高危漏洞”的时间线图：模型发现 → 独立验证 → 泄露 → 官方补丁 → 监管警告 → 服务停服。
• 大模型能力叙事的分支：从“对话/编程辅助”到“安全研究生产力工具”的角色迁移。
• 遗留系统风险：一个漏洞覆盖 PHP 5.4–8.5，说明长尾版本治理的长期欠账。
• 漏洞披露治理：泄露提前一天引发的应急连锁反应，可作为安全披露流程的反面案例讨论。
• 攻防双用途讨论：同一能力对防守方（补丁、检测）与攻击方（利用开发）的对称性。

原始材料

• 来源：腾讯研究院AI速递 20261023（搜狐转载）
• URL：https://m.sohu.com/a/1091363921_455313?scm=10001.325_13-325_13.0.0-0-0-0-0.5_1334&digest_item=2
• 条目：二、GPT-5.6 Sol挖出PHP两大高危漏洞，波及十余年版本
• 关键词（原文）：GPT-5.6 Sol；Patch the Planet；PHP2Shell；CVSS v4.0 9.2；PHP 5.4–8.5；PHP 8.5.12；Wiz；CISA；NSA