研究人员用 GPT-5.6 Sol 发现 PHP 两个 CVSS 9.2 严重漏洞

AI 安全公司 Calif 用 GPT-5.6 Sol 在 PHP 中发现两个 CVSS 9.2 严重漏洞，可让无账号攻击者接管 Web 服务器，影响远至 PHP 5.4 的版本。

PHP 提前一天紧急发布修复。

AI 安全公司 Calif 借助 GPT-5.6 Sol 在 PHP 中发现两个 CVSS 9.2 严重漏洞，攻击者无需账号即可接管 Web 服务器，影响范围可追溯至 PHP 5.4，PHP 官方提前一天紧急发布修复。

• AI 安全公司 Calif 借助 GPT-5.6 Sol 在 PHP 中发现两个 CVSS 9.2 严重漏洞，攻击者无需账号即可接管 Web 服务器，影响范围可追溯至 PHP 5.4，PHP 官方提前一天紧急发布修复。
• 原贴提到：AI 安全公司 Calif 用 GPT-5.6 Sol 在 PHP 中发现两个 CVSS 9.2 严重漏洞，可让无账号攻击者接管 Web 服务器
• 来源：x.com

这是什么信号：这次事件表明，大模型已经被当作漏洞挖掘工具投入使用，而不再只是写代码的助手；它在一门主流语言的运行时 PHP 上产出了两个 CVSS 9.2 的严重漏洞，攻击者无需账号即可接管 Web 服务器，影响范围可追溯至 PHP 5.4。PHP 官方提前一天紧急发布修复，说明问题被判定为需要抢时间处理，而不是按常规节奏排期。

为什么重要：第一，漏洞发现的门槛和成本结构正在改变。过去要靠资深安全研究员逐行审计，现在可以用模型做高覆盖率的初筛。第二，披露与修复的时间窗口被压缩，防守方“等公告出来再升级”的节奏会失效。第三，影响范围覆盖 PHP 5.4 这类老版本，意味着大量长尾系统仍然暴露在同一风险面上，而它们往往是最缺人维护的一批。

对谁有价值：运维与 SRE，需要先确认自家使用的 PHP 版本；安全团队，可以用 LLM 审计提高覆盖率，但必须保留人工复核来控制误报；开源维护者，需要面对 AI 加速发现漏洞所带来的披露节奏压力；安全厂商和甲方安全部门，可以据此评估把模型纳入 SDL(安全开发生命周期)的可行性。

可以怎么行动：清点 PHP 版本和对外暴露面，优先处理可直接从公网访问的 Web 服务；准备灰度升级与回滚方案，避免一次性全量升级引发业务抖动；对短期内无法升级的实例准备临时缓解措施；在内部代码审计流程中试点“LLM 初筛 + 人工确认”的双轨机制，先把提示词规范和复核清单沉淀下来。

风险与限制：这条公开信号没有披露 CVE 编号、漏洞的具体类型、利用前提、两个漏洞是否同源，也没有说明模型发现这些问题所需的耗时、成本和误报率，因此不能据此推断一套“通用可复制的 AI 挖洞流程”已经成熟。另外，CVSS 9.2 是严重性评分，并不等同于已经出现在野利用的证据，修复优先级仍需结合自身暴露面和业务影响来判断。

这条内容的真正价值，不只是“有人发布了一个新功能”，而是它揭示了 x.com 背后的产品方向、工作流变化或竞争信号。对 OPC 来说，这种信息可以转化成持续追踪的栏目选题。

如果把《研究人员用 GPT-5.6 Sol 发现 PHP 两个 CVSS 9.2 严重漏洞》放到你的内容系统里，它最大的价值在于帮助读者更快看懂“为什么值得关注”，而不是只看到一条碎片化动态。

• @rohanpaul_ai 原帖