2026 年 10 月 21 日，PHP 项目发布紧急更新，修复两个代号 PHP2Shell 的严重漏洞（CVE-2026-109618 和 CVE-2026-109619），严重程度评分均为 CVSS 9.2。问题出在 PHP 自身：当请求处理中途失败时，PHP 没有把内部状态清理干净，攻击者可以故意触发失败，再借留下的残留数据，在无需登录的情况下远程执行任意代码，甚至泄露密码、令牌和 API 密钥。修复办法只有升级 PHP，已发布 8.5.12、8.4.27、8.3.36、8.2.35 四个补丁版本；8.1 及更早版本没有官方补丁，需要自行打源码补丁或用发行版回溯修复。漏洞细节在补丁发布前已泄露，Cloudflare 已观测到攻击，荷兰众议院和英国 NCSC 一度下线网站预防。普通用户和企业应尽快升级 PHP 或通过系统包管理器安装修复版本，用容器的要重新构建镜像，暂时无法升级的只能用官方建议的配置降低部分攻击路径风险。
展开详情收起详情：CVE-2026-109618 与 CVE-2026-109619：PHP2Shell 严重漏洞——它是什么、该怎么办⌄
Dynatrace Blog
原文发布：2026-10-22 22:48收录：2026-10-23
安全研究人员用 AI 模型（如 OpenAI 的 GPT-5.6 Sol 和 Google 旗下 Wiz 的工具）在 PHP 编程语言里发现了两个严重漏洞，合称 PHP2Shell，攻击者可借此在服务器上执行恶意代码。PHP 官方紧急为 8.2 到 8.5 版本发布修复，Cloudflare、Automattic 等公司也上线了防护，但 Chainguard 在约定披露时间前六小时就抢先发布补丁镜像，引发 PHP 基金会不满。这件事暴露出一个新问题：AI 让找漏洞变得容易，而评估和修复仍需时间和专家，小项目更难应对。 Anthropic 的研究也显示 Claude 在 25 个开源项目里找出 493 个安全问题。对普通读者来说，这意味着你用的网站和服务可能更频繁地收到紧急安全更新，也提醒开源维护者的压力正在加大。
文中可用工具
- GPT-5.6 SolOpenAI 的模型，安全公司 Calif 用它发现了 PHP 的一个漏洞
- ClaudeAnthropic 的模型，其研究在 25 个开源项目中找出 493 个安全问题
- ComposerPHP 的依赖管理工具，原文仅提到其创建者兼联合维护者身份
- WAFWeb 应用防火墙，用于拦截针对漏洞的攻击
展开详情收起详情：PHP 安全风波只是预演：AI 挖漏洞的速度快过维护者的修复速度⌄
The New Stack
原文发布：2026-10-22 22:35收录：2026-10-23
安全公司 Calif 借助 OpenAI 的 Patch the Planet 计划，用一个 AI 模型在 PHP 语言里找到可远程执行代码的严重漏洞，Wiz 等也独立报告了同一问题。PHP 维护者其实在 2024 年就注意到相关内存耗尽异常的迹象，但直到今年八月才看清完整危害，随后发布 8.2.35、8.3.36、8.4.27、8.5.12 等修复版本。问题在于补丁正式发布前细节已外泄，Chainguard 提前六小时多公开了打好补丁的镜像，引发是否违反协调披露禁发期的争论。对读者来说：若运行公开可访问的 PHP 服务，应尽快升级到修复版本，并假定可能已被探测甚至入侵。
文中可用工具
- Patch the PlanetOpenAI 的漏洞发现计划，Calif 在其中用 AI 找出 PHP 漏洞
- GPT-5.6 SolCalif 用来发现远程代码执行路径的 AI 模型
- WordPress提醒站长升级 PHP，但漏洞本身不需要更新 WordPress
- Chainguard提前发布含修复的容器镜像，引发禁发期争议
- testing harnessChainguard 用来独立复现该漏洞的测试工具
展开详情收起详情：AI 发现 PHP 严重漏洞，但更大的问题始于 2024 年⌄
The New Stack
原文发布：2026-10-22 23:01收录：2026-10-23
OpenAI 把自己提出的一套“通用大模型接口规范”Open Responses 捐给了开源组织 Agentic AI Foundation（AAIF，隶属于 Linux 基金会）。问题是：各家大模型厂商的接口虽然都提供消息、工具调用等同类功能，但写法各不相同，开发者每换一家模型就得重写对接代码。Open Responses 把这些基础接口统一成一套标准，切换模型时不用再逐家适配。目前 Vercel AI Gateway、Databricks Model Serving 已经实现该规范，AWS、Ollama、Hugging Face、Nvidia 等表示支持，但 Anthropic 和 Google 尚未采用。规范文件本身已公开，由 AAIF 作为中立平台继续推进。
文中可用工具
- Open Responses统一的 LLM 核心 API 调用规范，让开发者跨厂商切换模型时少写适配代码
- Agentic AI FoundationLinux 基金会下托管智能体相关开源项目的中立组织
- MCPAAIF 托管的智能体协议之一，原文未说明具体用途
- A2AAAIF 托管的智能体协议之一，原文未说明具体用途
- AGENTS.mdOpenAI 捐赠的规范，用于给编程智能体提供项目专属指令
- gooseAAIF 托管的开源 AI 智能体项目，原文未说明具体用途
- agentgatewayAAIF 托管的项目之一，原文未说明具体用途
- Agent RouterAAIF 托管的项目之一，原文未说明具体用途
- OpenSandbox原文仅提及加入 AAIF，未说明具体用途
- Agent SkillsAnthropic 的项目，原文仅提及加入 AAIF，未说明具体用途
- OpenEvHugging Face 的智能体环境框架，原文仅提及加入 AAIF，未说明具体用途
- Vercel AI Gateway已实现 Open Responses 规范的模型接入服务
展开详情收起详情：OpenAI 将通用 LLM API 规范 Open Responses 捐赠给 Agentic AI Foundation⌄
The New Stack
原文发布：2026-10-23 00:01收录：2026-10-23
Letta 发布了一个叫 FrontierMemory 的新测试，专门看 AI 智能体能不能把过去的经验真正用在后面的任务上，而不只是把信息存起来。他们让五个智能体系统先看以前的工作记录，再自己总结记忆去完成新任务，结果分数从 73.3% 到 26.7% 不等：Letta Dream 最高，Prime Agent 60%，OpenAI Agents SDK 40%，Claude Managed Agents 33.3%，Hermes Agent 最低。在模型层面，Claude Opus 5.5 和 GLM-5.3 并列第一（73.3%），但 GPT-6.1 Sol 虽然只有 60%，每个任务只要约 0.77 美元，远低于 Opus 5.5 的 2.80 美元和 GLM-5.3 的 3.58 美元。对开发者来说，这说明同样的模型换个框架效果可能差很多，也可以考虑用贵模型生成记忆、用便宜模型干活。不过该测试目前只有 15 个任务、每个只跑一次，单个结果就能让分数浮动约 6.7 个百分点，且暂不涉及边做边更新记忆，后续版本才计划加入更长任务和在线更新。
文中可用工具
- FrontierMemoryLetta 发布的基准测试，衡量智能体能否从过去经验中学习并用于新任务
- Letta DreamLetta 的智能体框架，在本次测试中得分最高，用于生成和利用记忆
- Prime Agent参与测试的智能体框架，得分 60%
- OpenAI Agents SDKOpenAI 的智能体开发框架，参与测试得分 40%
- Claude Managed AgentsAnthropic 的托管智能体方案，参与测试得分 33.3%
- Hermes Agent参与测试的智能体框架，得分最低为 26.7%
- Letta CodeLetta 的编码环境，用于测试各模型生成的记忆在任务中的效果
- OpenClaw多人在线环境，其账号表示希望以插件形式参与记忆测试，目前尚未接入
展开详情收起详情：五个 AI 智能体框架参加同一项记忆测试，结果差距悬殊⌄
The New Stack
原文发布：2026-10-23 02:34收录：2026-10-23
GitHub 漏洞赏金团队在网络安全意识月采访了研究员 @r31n。他专门研究 GitHub Enterprise Server，多次发现高危问题，报告里都附带可用的概念验证和清晰的复现步骤，让工程团队能更快定位并修复。他说自己偏爱把几个看似无害的小问题串成完整攻击链，比如一个开放重定向配上会跟随跳转的 SSRF。日常学习靠安全博客、漏洞分析和会议演讲，但真正掌握要靠亲手复现。他认为 AI 降低了入门门槛，也确实是效率放大器，但决定研究质量的是验证和真实影响，而不是工具。
展开详情收起详情：漏洞赏金如何磨砺一位研究员的安全技能⌄
GitHub Blog
原文发布：2026-10-23 01:21收录：2026-10-23
Uber 和 OpenAI 合作，把 ChatGPT Work 推广给公司超过 3 万名员工使用。此前员工做调研、分析数据、做演示文稿和跑复杂流程，往往要在多个工具间来回切换、手动拼凑。这次 Uber 统一提供 ChatGPT Work，把这些工作放到一个能理解上下文、帮着把多步任务做完的入口里。对普通员工来说，它像一个能查资料、算数据、生成汇报初稿的助手；不过材料只提到内部推广，没有说明具体上线日期、功能细节、费用或使用限制。
文中可用工具
- ChatGPT Work面向企业员工的 ChatGPT 版本，用于调研、数据分析、制作演示文稿和处理复杂工作流
展开详情收起详情：Uber 与 OpenAI 合作，向全体员工部署 ChatGPT Work⌄
OpenAI News
原文发布：2026-10-22 08:00收录：2026-10-23
OpenAI 发表了一篇简短说明，介绍“前向部署工程”（forward deployed engineering，简称 FDE）在 OpenAI 内部指的是什么。但材料只给出了标题和一句同样的概述，正文没有展开，因此文章没有说明 FDE 团队具体做什么、服务哪些客户、解决过什么实际问题，也没有给出任何数字、限制或上线状态。读者目前能确认的只有一点：OpenAI 用 FDE 这个说法来指代某项工作职能，但这项职能的细节尚不清楚。在原文内容补全之前，无法判断它与读者有什么关系，也无法确认其中是否涉及可用的工具或产品。
展开详情收起详情：FDE 在 OpenAI 意味着什么⌄
OpenAI News
原文发布：2026-10-22 14:00收录：2026-10-23
目前有一段非常简短的介绍，说 Decisions API 能为任何应用提供快速、聚焦、低成本的决定，并据此构建响应更快的应用。但材料没有说明是谁发布的、原来存在什么问题、这次具体怎么解决，也没有给出任何数字、限制或发布状态。原文只有标题和一句摘要，正文片段与摘要重复，所以除了“这是一个面向应用的决定类 API”外，无法可靠地告诉读者更多细节。读者现在能得到的唯一信息是：可能有这样一个 API 声称能用于加速应用响应，但可用性、使用方式和效果都未说明。
展开详情收起详情：使用 Decisions API 构建响应更快的应用⌄
OpenAI News
原文发布：2026-10-23 03:00收录：2026-10-23