PHP retter to kritiske RCE-sårbarheder fundet med frontier-AI-modeller

PHP-projektet udgav PHP 8.5.12, 8.4.27, 8.3.36 og 8.2.35 den 21. oktober 2026. Sikkerhedsopdateringerne retter to kritiske sårbarheder, som kan muliggøre fjernkørsel af kode uden autentificering, og som blev opdaget ved hjælp af frontier-AI-modeller. Den koordinerede offentliggørelse involverede PHP-projektet, OpenAI, sikkerhedsforskningsfirmaet Calif og cloud-sikkerhedsfirmaet Wiz.

De opdaterede versioner

PHP-projektets sikkerhedsmeddelelse oplyser, at de fire versioner retter CVE-2026-109618, der beskrives som fjernkørsel af kode via korruption forårsaget af utilstrækkelig hukommelse, og CVE-2026-109619, der beskrives som fjernkørsel af kode via forældet global tilstand. En forhåndsmeddelelse fra PHP’s sikkerhedsteam den 20. oktober 2026 vurderede begge sårbarheder til CVSS v4.0 9.2 og fastsatte udgivelsen til kl. 14.00 UTC den 21. oktober.

Alle PHP-installationer, der håndterer webforespørgsler, er i fare, oplyser sikkerhedsmeddelelsen. Det gælder blandt andet PHP-FPM, Apache med mod_php, php-cgi, FrankenPHP og LiteSpeed. Risikoen vurderes at være størst for mod_php, hvor et demonstreret angreb kan udløses af en forespørgsel uden autentificering, før nogen applikationskode køres.

Projektet oplyser, at der ikke findes nogen fuldstændig afhjælpning, og at opdatering er den eneste sikre løsning, selvom det opremser midlertidige indstillinger, der mindsker eksponeringen for bestemte angrebsveje. Linux-distributioner og LTS-leverandører modtog rettelserne på forhånd. PHP’s sikkerhedsteam leverede også minimale tilbagesporteringer af kildekoden til PHP 7.4, 8.0 og 8.1, som ikke længere modtager opdateringer, og bemærkede, at supporten til PHP 8.2 ophører den 31. december 2026.

Sårbarhederne og php2shell-udnyttelsen

Wiz Researchs tekniske redegørelse beskriver CVE-2026-109618 som omfattende en use-after-free-fejl i en deserialiseringsfunktion til upload-progress samt fjernadgang til proceshukommelse, og CVE-2026-109619 som omfattende en use-after-free-fejl i et tilbagespor ved fatale fejl samt en typeforveksling i OPcache. Alle sårbarhederne vedrører hukommelsessikkerhed og skyldes den måde, PHP håndterer fatale fejl på, især fejl som følge af utilstrækkelig hukommelse, mens forespørgsler behandles.

Wiz oplyste, at alle PHP-versioner udgivet i løbet af det seneste årti er berørt af mindst én af sårbarhederne, helt tilbage til version 5.4. Calif rapporterede, at den tidligste berørte kodevej, firmaet fandt, stammer fra PHP 5.4.0, og at udnyttelsesvejene, som afhænger af PHP-versionen og SAPI, altid kan udnyttes med standardkonfigurationer.

Wiz samlede sårbarhederne i ét udnyttelsesscript med navnet php2shell og demonstrerede fjernkørsel af kode uden autentificering mod de nyeste containeraftryk af WordPress, Drupal og Joomla. Separat demonstrerede firmaet afsløring af PHP-arbejderes hukommelse, uafhængigt af applikationen, hvor der kan ligge adgangskoder, autentificeringstokens, API-nøgler og certifikater. Califs redegørelse rapporterer bekræftet fjernkørsel af kode før autentificering på WordPress 7.1.2, Drupal 11.4.3, Joomla 6.1.4, MediaWiki 1.46.2, Roundcube 1.7.4, Magento 2.4.9, phpMyAdmin 5.2.3, Nextcloud 35.0.1, Laravel 13.11, Symfony 8.1 og WHMCS samt i visse tilfælde på vilkårlige PHP-scripts.

Wiz beskriver PHP som teknologien bag 70 % af alle websteder, herunder WordPress, Joomla, Drupal og Wikipedias MediaWiki, og betegner fundene som blandt de mest alvorlige sårbarheder, der er blevet opdaget i PHP.

Sådan fandt frontier-AI-modellerne sårbarhederne

OpenAI oplyste, at virksomheden i løbet af de seneste to måneder har stået i spidsen for en koalition af vedligeholdere, forskere og sikkerhedsleverandører, der skulle håndtere sårbarhederne. Calif identificerede en kritisk sårbarhed ved hjælp af sin model GPT-5.6 Sol som led i OpenAI’s initiativ Patch the Planet, mens Wiz uafhængigt opdagede og rapporterede begge sårbarheder. PHP’s vedligeholdere stod i spidsen for rettelserne og udgivelsen.

Deltagernes tidslinjer viser, at deres uafhængige opdagelser overlappede. PHP Foundation oplyser, at Calif indledte sin sikkerhedsrevision den 30. juli 2026, og at Calif-forskeren Ryan A rapporterede om fjernkørsel af kode uden betingelser den 11. august 2026. OpenAI rapporterede uafhængigt om den samme grundlæggende årsag samme dag. Calif daterer sin opdagelse til den 1. august 2026, en proof of concept for fjernkørsel af kode, som blev delt med PHP den 14. august 2026, PHP’s bekræftelse den 15. august 2026 og en anden fejl, der blev rapporteret den 21. august 2026.

Wiz oplyser, at firmaet opdagede den første sårbarhed den 19. august 2026 ved hjælp af Wiz Atlas, Gemini 4 Argon og GPT-5.6 Sol. Det bekræftede kodekørsel uden autentificering mod Drupal den 20. august 2026 og WordPress den 21. august og rapporterede sårbarhederne til PHP’s sikkerhedsteam den 24. august 2026. Ifølge PHP Foundation tilføjede OpenAI yderligere angrebsveje den 18. september 2026, og ifølge Wiz bekræftede PHP modtagelsen af rapporterne og begyndte at udvikle en koordineret rettelse den 21. september 2026.

Den underliggende svaghed har en lang historie. Calif fortæller, at Stefan Esser fandt den første fjernsårbarhed i PHP’s hukommelsesgrænse i 2004, at en fejlbeskrivelse af en tilstand med utilstrækkelig hukommelse blev rapporteret til projektet i 2020, og at en sikkerhedsrevision foretaget af OSTIF og Quarkslab i 2024 genopdagede problemet uden at påvise, at det kunne udnyttes. PHP Foundation skrev, at Sovereign Tech Agency finansierede sikkerhedsrevisionen i 2024, og at arbejdet med en rettelse gentagne gange gik i stå og blev genoptaget gennem flere måneder: »Vi vil ikke lade, som om det forholder sig anderledes: Forsinkelsen skyldtes en strukturel fejl.«

OpenAI oplyste, at virksomheden på grund af sårbarhedernes alvor og PHP’s udbredte anvendelse betragter dette som et af de mest betydningsfulde sikkerhedsproblemer i nyere tid. Virksomheden sagde også, at frontier-AI efter dens bedste viden fandt sårbarhederne før angriberne og dermed skabte det, den kalder et forsvarervindue. OpenAI forpligtede sig til at stille subsidieret adgang til Daybreak til en værdi af 1 milliard dollar til rådighed for forsvarere i frontlinjen og offentliggjorde en PHP-versionskontrol som en Codex-færdighed i GitHub-arkivet openai/php2shell-checker.

Et læk om offentliggørelsen og et brud på embargoen

PHP Foundation oplyser, at den koordinerede offentliggørelse blev holdt hemmelig indtil to dage før den planlagte udgivelsesdato. Omkring kl. 15.00 UTC den 20. oktober 2026 begyndte de to CVE-id’er at cirkulere på onlinefora og sociale medier sammen med et forkert udgivelsestidspunkt og en forkert CVSS-score på 10,0, men ingen tekniske detaljer blev lækket. PHP-projektet flyttede sin forhåndsmeddelelse til kl. 19.30 UTC samme dag og rykkede udgivelsen frem fra den 22. oktober 2026 til den 21. oktober 2026 kl. 14.00 UTC med den begrundelse, at distributørerne stadig var ved at pakke rettelsen.

Omkring kl. 20.00 UTC den 20. oktober offentliggjorde Calif ved en fejl en video, der viste, at virksomhedens proof of concept virkede mod en række mål. Ifølge PHP Foundation blev kopier af videoen spredt og bidrog til en hurtigere udvikling af forskellige proof-of-concept-udnyttelser den 21. oktober. Kl. 07.41 UTC den 21. oktober, mere end seks timer før den koordinerede udgivelse, brød Chainguard ensidigt embargoen og offentliggjorde byggede aftryk, der indeholdt rettelsen, oplyser PHP Foundation. PHP’s sikkerhedsteam overvågede de proof of concepts, der dukkede op efter lækket, men identificerede ingen fungerende udnyttelser på tidspunktet for udgivelsen og den offentlige offentliggørelse.

Koordinering med myndigheder og et foreslået rammeværk

OpenAI sagde, at virksomheden arbejdede sammen med partnere for at inddrage flere dele af den amerikanske regering, herunder Det Hvide Hus’ Super Intelligence Force, Office of the National Cyber Director og Cybersecurity and Infrastructure Security Agency, samt internationale partnere, så sikkerhedsvejledning kunne nå frem til kritiske organisationer. Wiz oplyste, at virksomheden inden den offentlige offentliggørelse indgik partnerskab med Google Cloud, Cloudflare, AWS, Microsoft, Automattic, Fastly, Akamai, Imperva, Vercel og andre for at udarbejde vejledning til kunder, detektionsmekanismer og indbyggede afværgeforanstaltninger til organisationer, der ikke kan opdatere med det samme.

OpenAI offentliggjorde også et forslag til et rammeværk med fem faser til håndtering af kritiske sårbarheder i udbredt software: validering og rettelse af sårbarheden i den oprindelige software, tid til at reagere for berørte organisationer, koordinering med myndighedspartnere, klargøring af opdateringer på tværs af berørte produkter og offentliggørelse af vejledning, når en rettelse er tilgængelig. Virksomheden bad sikkerhedsmiljøet om feedback på tilgangen.

PHP Foundation, der oprettede et team for økosystemsikkerhed i maj 2026 og ansatte Alexandre Daubois i juli 2026 og Daniel Scherzer i september 2026, oplyste, at teamet har offentliggjort 15 CVE’er siden 1. juli 2026, samtidig med at det har behandlet mere end 100 indberetninger, som viste sig at være ugyldige, dubletter eller ikke kunne reproduceres. Fonden appellerede til virksomheder, hostingudbydere, cloudplatforme, distributioner og regeringer, hvis tjenester kører på PHP, om at sponsorere arbejdet.