PHP opravuje dvě kritické zranitelnosti umožňující vzdálené spuštění kódu, které odhalily špičkové modely AI

Projekt PHP vydal 21. října 2026 verze PHP 8.5.12, 8.4.27, 8.3.36 a 8.2.35. Tato bezpečnostní vydání opravují dvě kritické zranitelnosti, které mohou umožnit vzdálené spuštění kódu bez ověření totožnosti a které odhalily špičkové modely AI. Na koordinovaném zveřejnění informací spolupracovaly projekt PHP, OpenAI, společnost Calif zaměřená na bezpečnostní výzkum a společnost Wiz zabývající se cloudovou bezpečností.

Vydané opravy

Bezpečnostní upozornění projektu PHP uvádí, že všechny čtyři verze opravují CVE-2026-109618, popsanou jako vzdálené spuštění kódu způsobené poškozením při nedostatku paměti, a CVE-2026-109619, popsanou jako vzdálené spuštění kódu způsobené zastaralým globálním stavem. Předběžné oznámení bezpečnostního týmu PHP z 20. října 2026 ohodnotilo obě zranitelnosti známkou 9,2 podle CVSS v4.0 a naplánovalo vydání na 21. října ve 14:00 UTC.

Podle upozornění jsou ohroženy všechny instalace PHP, které obsluhují webové požadavky, včetně PHP-FPM, Apache s mod_php, php-cgi, FrankenPHP a LiteSpeed. Za nejvyšší se považuje riziko u mod_php, kde lze předvedený útok spustit neověřeným požadavkem ještě před spuštěním jakéhokoli aplikačního kódu.

Projekt uvádí, že neexistují žádná úplná opatření ke zmírnění rizika a jedinou bezpečnou možností je aktualizace, zároveň však vyjmenovává dočasná nastavení, která omezují vystavení konkrétním způsobům útoku. Opravy předem obdržely linuxové distribuce a poskytovatelé dlouhodobě podporovaných verzí (LTS). Bezpečnostní tým PHP také poskytl minimální zpětně přenesené opravy zdrojového kódu pro PHP 7.4, 8.0 a 8.1, které už aktualizace nedostávají, a upozornil, že podpora PHP 8.2 skončí 31. prosince 2026.

Zranitelnosti a exploit php2shell

Technický popis výzkumu Wiz uvádí, že CVE-2026-109618 zahrnuje chybu typu použití po uvolnění paměti v deserializátoru průběhu nahrávání a zpřístupnění paměti vzdáleného procesu, zatímco CVE-2026-109619 zahrnuje chybu typu použití po uvolnění paměti v trasování zásobníku po závažné chybě a záměnu typů v OPcache. Ve všech případech jde o problémy s bezpečností paměti, které souvisejí se způsobem, jakým PHP při zpracování požadavků řeší závažné chyby, zejména chyby způsobené nedostatkem paměti.

Wiz uvedla, že se alespoň jedna ze zranitelností týká každé verze PHP vydané za posledních deset let, a to až po verzi 5.4. Calif oznámila, že nejstarší dotčená cesta, kterou nalezla, sahá k PHP 5.4.0 a že cesty umožňující zneužití jsou vždy zneužitelné při výchozím nastavení; závisí přitom na verzi PHP a rozhraní SAPI.

Wiz spojila zranitelnosti do jediného exploitu nazvaného php2shell a předvedla vzdálené spuštění kódu bez ověření totožnosti v nejnovějších obrazech kontejnerů WordPressu, Drupalu a Joomly. Samostatně předvedla zpřístupnění paměti pracovních procesů PHP nezávislé na konkrétní aplikaci; tato paměť může obsahovat hesla, ověřovací tokeny, klíče API a certifikáty. Popis společnosti Calif uvádí potvrzené vzdálené spuštění kódu před ověřením totožnosti ve WordPressu 7.1.2, Drupalu 11.4.3, Joomle 6.1.4, MediaWiki 1.46.2, Roundcube 1.7.4, Magento 2.4.9, phpMyAdminu 5.2.3, Nextcloudu 35.0.1, Laravelu 13.11, Symfony 8.1 a WHMCS, a v některých případech také v libovolných skriptech PHP.

Wiz uvádí, že PHP pohání 70 % všech webových stránek, včetně webů využívajících WordPress, Joomla, Drupal a MediaWiki od Wikipedie, a řadí tato zjištění k nejzávažnějším zranitelnostem, jaké byly v PHP objeveny.

Jak špičkové modely AI odhalily zranitelnosti

OpenAI uvedla, že v uplynulých dvou měsících vedla koalici správců projektů, výzkumníků a poskytovatelů bezpečnostních služeb, která se zranitelnostmi zabývala. Calif pomocí modelu GPT-5.6 Sol odhalila kritickou chybu v rámci iniciativy OpenAI Patch the Planet a Wiz nezávisle objevila a nahlásila obě zranitelnosti. Správci PHP vedli práce na opravách i vydání aktualizací.

Časové osy účastníků ukazují, že k nezávislým objevům docházelo ve stejném období. Nadace PHP uvádí, že Calif zahájila audit 30. července 2026 a že její výzkumník Ryan A nahlásil 11. srpna 2026 nepodmíněné vzdálené spuštění kódu; téhož dne nezávisle nahlásila stejnou základní příčinu také OpenAI. Podle záznamu společnosti Calif k objevu došlo 1. srpna 2026, důkaz konceptu umožňující vzdálené spuštění kódu byl sdílen s PHP 14. srpna 2026, PHP zranitelnost potvrdilo 15. srpna 2026 a druhá chyba byla nahlášena 21. srpna 2026.

Wiz uvádí, že první zranitelnost objevila 19. srpna 2026 pomocí nástrojů Wiz Atlas, Gemini 4 Argon a GPT-5.6 Sol. Vzdálené spuštění kódu bez ověření totožnosti potvrdila v Drupalu 20. srpna 2026 a ve WordPressu 21. srpna; bezpečnostnímu týmu PHP zranitelnosti nahlásila 24. srpna 2026. Podle nadace OpenAI 18. září 2026 doplnila další způsoby útoku a podle společnosti Wiz PHP 21. září 2026 zprávy potvrdilo a začalo připravovat koordinovanou opravu.

Základní slabina má dlouhou historii. Calif uvádí, že Stefan Esser v roce 2004 objevil první vzdálenou zranitelnost PHP související s limitem paměti, že projekt byl v roce 2020 upozorněn na chybu popisující stav nedostatku paměti a že audit z roku 2024, který provedly společnosti OSTIF a Quarkslab, problém znovu odhalil, ale neprokázal možnost jeho zneužití. Nadace PHP napsala, že audit z roku 2024 financovala Sovereign Tech Agency a že práce na opravě se v průběhu několika měsíců opakovaně zastavovaly a znovu rozbíhaly: „Nebudeme předstírat opak: zpoždění bylo systémovým selháním.“

OpenAI uvedla, že vzhledem k závažnosti zranitelností a širokému rozšíření PHP považuje tento případ za jeden z nejzávažnějších bezpečnostních problémů poslední doby. Podle svých informací zranitelnosti odhalila pokročilá AI dříve než útočníci, čímž se otevřelo období, které společnost označuje jako „okno pro obránce“. OpenAI se zavázala poskytnout bezpečnostním týmům v první linii dotovaný přístup k Daybreak v hodnotě 1 miliardy dolarů a v repozitáři openai/php2shell-checker na GitHubu zveřejnila nástroj ke kontrole verzí PHP jako dovednost pro Codex.

Únik informací o zranitelnostech a porušení embarga

Nadace PHP uvádí, že koordinované zveřejnění zůstalo utajeno až do dvou dnů před plánovaným datem vydání. Přibližně 20. října 2026 v 15:00 UTC se na internetových fórech a sociálních sítích začaly šířit identifikátory dvou CVE, a to s chybným časem vydání a nesprávným skóre CVSS 10,0, žádné technické podrobnosti však neunikly. Projekt PHP přesunul předběžné oznámení na 19:30 UTC téhož dne a posunul vydání z 22. října 2026 na 21. října 2026 ve 14:00 UTC s tím, že distributoři stále připravovali opravu k vydání.

Přibližně 20. října ve 20:00 UTC Calif omylem zveřejnil video, na němž jeho důkaz konceptu fungoval proti několika cílům. Podle nadace se kopie videa šířily a přispěly k urychlení vývoje různých exploitů typu proof of concept, které se objevily 21. října. Nadace uvádí, že Chainguard 21. října v 07:41 UTC, tedy více než šest hodin před koordinovaným vydáním, jednostranně porušil embargo a zveřejnil sestavené obrazy obsahující opravu. Bezpečnostní tým PHP sledoval důkazy konceptu, které se objevily po úniku, ale v době vydání a veřejného oznámení nezjistil žádné funkční exploity.

Koordinace s vládami a navrhovaný rámec

OpenAI uvedla, že spolupracovala s partnery a oslovila několik částí vlády USA, včetně jednotky Super Intelligence Force při Bílém domě, Úřadu národního ředitele pro kybernetickou bezpečnost a Agentury pro kybernetickou bezpečnost a infrastrukturu, a také mezinárodní partnery, aby se bezpečnostní doporučení dostala ke klíčovým organizacím. Společnost Wiz uvedla, že před veřejným zveřejněním spolupracovala se společnostmi Google Cloud, Cloudflare, AWS, Microsoft, Automattic, Fastly, Akamai, Imperva, Vercel a dalšími na přípravě doporučení pro zákazníky, detekčních mechanismů a předem připravených opatření ke zmírnění rizik pro organizace, které nemohou aktualizaci nainstalovat okamžitě.

OpenAI také zveřejnila návrh pětistupňového rámce pro reakci na kritické zranitelnosti v široce používaném softwaru: ověřit zranitelnost v původním projektu a opravit ji, poskytnout dotčeným organizacím čas k reakci, koordinovat postup s vládními partnery, připravit aktualizace pro všechny dotčené produkty a po zpřístupnění opravy zveřejnit doporučení. Společnost požádala bezpečnostní komunitu o zpětnou vazbu k tomuto přístupu.

Nadace PHP, která v květnu 2026 založila tým pro bezpečnost ekosystému a v červenci 2026 přijala Alexandra Dauboise a v září 2026 Daniela Scherzera, uvedla, že tým od 1. července 2026 zveřejnil 15 CVE a zároveň zpracovával více než 100 hlášení, která se ukázala jako neplatná, duplicitní nebo nereprodukovatelná. Nadace vyzvala k finanční podpoře společnosti, poskytovatele hostingu, cloudové platformy, distributory a vlády, jejichž služby běží na PHP.