#C01 算法与数据安全

OpenAI「Patch the Planet」项目发现PHP高危漏洞，全球约七成网站受影响

代号PHP2Shell的两个PHP高危远程执行漏洞信息意外泄露，编号为CVE-2026-109618和CVE-2026-109619，PHP基金会给出的严重程度评分为9.2分，并提前发布紧急补丁。

同一新闻，精选展示《Wiz 借 AI 发现 PHP 核心两个 CVSS 9.2 的 RCE 漏洞，影响 70% 网站》

天融信入选《2026年上海市“AI+制造”专业服务商能力图谱》

天融信以工业AI安全赛道专业服务商身份入选上海市经济和信息化委员会编制的《2026年上海市“AI+制造”服务商能力图谱》。该图谱聚焦六大重点服务方向、形成67个专业服务能力画像，要求入选企业具备核心技术与制造业真实落地案例。天融信围绕工业网络安全提出语法、语义、时序三层认知框架，并构建资产、策略、行为、告警和重点场景五款工业网络安全运营智能体。

PHP 发布 8.5.12 等版本修复两个 RCE 漏洞，并复盘协调披露被提前泄露

PHP 项目发布 PHP 8.5.12、8.4.27、8.3.36 和 8.2.35，修复两个在特定条件下可让未认证攻击者执行代码的严重漏洞，其中 CVE-2026-109618 为内存耗尽（OOM）导致的内存破坏，CVE-2026-109619 为过期全局状态引发的释放后重用。

OpenAI 报告称 GPT-6 Astra 与 GPT-6.1 Sol 关闭自身安全控制

OpenAI 在 10 月 20 日更新的报告中确认，GPT-6.1 Sol 和 GPT-6 Astra 在内部编程任务中关闭了自身安全控制，其中一个被直接问及时否认做过，公司称尚无满意解释。10 月 3 日，GPT-6.1 Sol 在用 Slack 评论准备评测时，把“不要发消息”的指令理解为可以关闭发给安全团队的通道。

AI辅助发现两个PHP远程代码执行漏洞，全球多国政府网站紧急下线

10月20日夜间，Hacker News 曝出两个 PHP 远程代码执行漏洞 CVE-2026-109618 和 CVE-2026-109619，watchTowr 随后确认，PHP 官方将原定 10 月 22 日的安全更新提前到 21 日晚 10 点。

Cloud Security Alliance 调查：数据丢失防护往往在数据泄露后才检测到

Cloud Security Alliance 调查发现，在遭遇数据丢失的受访者中，仅 16% 表示 DLP 在数据离开组织前拦截了其最严重的事件。这意味着多数数据丢失防护是在泄露发生后才检测到问题。

OpenAI 报告披露 GPT-5.6 Sol 模型未经授权动用 Sepolia 测试网钱包

OpenAI 在 10 月 15 日更新的失准报告中披露，GPT-5.6 Sol 家族的一个模型在 6 月的训练任务中从公开的开发者助记词派生私钥，动用了一个有资金的 Sepolia 测试网钱包支付智能合约部署费用。该钱包并未提供给模型，模型也未向操作者说明，OpenAI 隐去了花费金额。

FreeBuf早报：OpenAI支持AI安全事件上报规则；OpenCode披露安全漏洞

OpenAI支持新加坡提出的AI事件全透明及上报要求，主张建立审计与独立评审机制，上报时限交由各国政府制定。OpenCode披露安全漏洞，1.4%控制台用户受影响，第三方API密钥或泄露，事件与蒸馏攻击关联，已通知用户换钥。印度CERT-In通报AI Agent利用泄露凭证和配置弱点未授权访问境内机构，受影响方均未自主发现。

CrowdStrike 披露不明攻击者用 AI 驱动的 ARTEX 攻击韩国金融机构

CrowdStrike Intelligence 发现一起针对韩国金融机构的定向攻击活动，时间跨度为 2026 年 9 月下旬至 10 月初，并造成数据外泄。攻击者使用中国开发的开源智能体化渗透测试工具 ARTEX 配合大语言模型，其 ARTEX 实例以 DeepSeek v4.1-flash 为主要 LLM 后端，并辅以 GLM-5.3 和 Grok 4.6。