OpenAI 开源 PHP 自查工具

CVE-2026-109618/109619，两个 CVSS 9.2 分的 PHP 远程代码执行漏洞，无账号攻击者就能接管 Web 服务器，影响远到 PHP 5.4。
复盘文章满地都是，但能跑的自查工具，OpenAI 刚开源了一个：openai/php2shell-checker，545 star，Apache-2.0，上线一天。
本机实测：clone 下来 node --test 跑 39 个测试全过；本地起三个服务器分别回 PHP/8.4.20、PHP/8.4.27 和不露版本头，checker 依次给出 VULNERABLE（退出码 1）、OK（退出码 0）、UNKNOWN（退出码 3）。
判定就看一张 14 分支的 cutoff 表；版本只从 X-Powered-By 和 Server 两个 HTTP 头读，HEAD 优先，撞 405/501 才回落 GET，不跟随重定向不解析 body。
退出码是给 CI 设计的：--json 输出 patch_status，1 和 3 是业务结论不是执行失败。
坑也提四个：UNKNOWN 不等于安全（README 原话 UNKNOWN does not mean the target is patched）；OK 也只是版本比对，不独立验证补丁；发行版 backport 可能暗修；别拿它扫别人的站。