PHP retter to kritiske RCE-sårbarheter oppdaget med avanserte KI-modeller

PHP-prosjektet ga ut PHP 8.5.12, 8.4.27, 8.3.36 og 8.2.35 21. oktober 2026. Sikkerhetsutgivelsene retter to kritiske sårbarheter som kan muliggjøre ekstern kjøring av kode uten autentisering, og som ble oppdaget ved hjelp av avanserte KI-modeller. Den koordinerte varslingen involverte PHP-prosjektet, OpenAI, sikkerhetsforskningsfirmaet Calif og skysikkerhetsselskapet Wiz.

De oppdaterte utgivelsene

PHP-prosjektets sikkerhetsvarsel opplyser at de fire utgivelsene retter CVE-2026-109618, som beskrives som ekstern kjøring av kode via minnekorrupsjon ved minneutmattelse, og CVE-2026-109619, som beskrives som ekstern kjøring av kode via foreldet global tilstand. I et forhåndsvarsel 20. oktober 2026 ga PHPs sikkerhetsteam begge sårbarhetene en CVSS v4.0-vurdering på 9.2 og fastsatte utgivelsen til kl. 14:00 UTC 21. oktober.

Alle PHP-installasjoner som håndterer nettforespørsler, er utsatt, ifølge varselet. Dette omfatter PHP-FPM, Apache med mod_php, php-cgi, FrankenPHP og LiteSpeed. Risikoen regnes som størst for mod_php, der et demonstrert angrep kan utløses av en forespørsel uten autentisering før noen applikasjonskode kjøres.

Prosjektet opplyser at det ikke finnes noen fullstendige tiltak som fjerner risikoen, og at oppdatering er det eneste trygge alternativet, selv om det også lister opp midlertidige innstillinger som reduserer eksponeringen for bestemte angrepsveier. Linux-distribusjoner og LTS-leverandører fikk oppdateringene på forhånd. PHPs sikkerhetsteam leverte også minimale tilbakeporteringer av kildekoden for PHP 7.4, 8.0 og 8.1, som ikke lenger får oppdateringer, og påpekte at PHP 8.2 når slutten av levetiden 31. desember 2026.

Sårbarhetene og php2shell-utnyttelsen

Wiz Researchs tekniske redegjørelse beskriver CVE-2026-109618 som en sårbarhet som omfatter en use-after-free-feil i deserialisereren for opplastingsfremdrift og eksponering av minne i eksterne prosesser, og CVE-2026-109619 som en sårbarhet som omfatter en use-after-free-feil i en tilbakesporing ved fatal feil og en typeforveksling i OPcache. Alle er minnesikkerhetsproblemer som skyldes hvordan PHP håndterer fatale feil, særlig feil som oppstår når minnet tar slutt, mens forespørsler behandles.

Wiz opplyste at alle PHP-versjoner utgitt det siste tiåret er berørt av minst én av sårbarhetene, helt tilbake til versjon 5.4. Calif rapporterte at den eldste berørte angrepsveien de fant, stammer fra PHP 5.4.0, og at angrepsveiene, som avhenger av PHP-versjonen og SAPI, alltid kan utnyttes med standardkonfigurasjoner.

Wiz samlet sårbarhetene i ett enkelt angrepsskript kalt php2shell og demonstrerte ekstern kjøring av kode uten autentisering mot de nyeste containeravbildningene av WordPress, Drupal og Joomla. I tillegg demonstrerte selskapet applikasjonsuavhengig innsyn i PHP-arbeideres minne, som kan inneholde passord, autentiseringstokener, API-nøkler og sertifikater. Califs rapport bekrefter ekstern kjøring av kode før autentisering på WordPress 7.1.2, Drupal 11.4.3, Joomla 6.1.4, MediaWiki 1.46.2, Roundcube 1.7.4, Magento 2.4.9, phpMyAdmin 5.2.3, Nextcloud 35.0.1, Laravel 13.11, Symfony 8.1 og WHMCS, samt på vilkårlige PHP-skript i enkelte tilfeller.

Wiz beskriver PHP som teknologien bak 70 % av alle nettsteder, blant annet WordPress, Joomla, Drupal og Wikipedias MediaWiki, og regner funnene blant de mest alvorlige sårbarhetene som er oppdaget i PHP.

Slik oppdaget avanserte KI-modeller sårbarhetene

OpenAI opplyste at selskapet de siste to månedene har ledet en koalisjon av vedlikeholdere, forskere og sikkerhetsleverandører for å håndtere sårbarhetene. Calif identifiserte en kritisk feil ved hjelp av modellen GPT-5.6 Sol som en del av OpenAIs Patch the Planet-initiativ, mens Wiz oppdaget og rapporterte begge sårbarhetene uavhengig av de andre. PHPs vedlikeholdere ledet arbeidet med rettelsene og utgivelsen.

Deltakernes tidslinjer viser at uavhengige oppdagelser overlappet. PHP Foundation oppgir at Calif begynte sikkerhetsgjennomgangen 30. juli 2026, og at Calif-forskeren Ryan A rapporterte om en ubetinget ekstern kjøring av kode 11. august 2026. OpenAI rapporterte uavhengig om den samme grunnårsaken samme dag. Calif oppgir at sårbarheten ble oppdaget 1. august 2026, at et RCE-konseptbevis ble delt med PHP 14. august 2026, at PHP bekreftet sårbarheten 15. august 2026, og at en annen feil ble rapportert 21. august 2026.

Wiz opplyser at selskapet oppdaget den første sårbarheten 19. august 2026 ved hjelp av Wiz Atlas, Gemini 4 Argon og GPT-5.6 Sol. Selskapet bekreftet kjøring av kode uten autentisering mot Drupal 20. august 2026 og WordPress 21. august, og rapporterte sårbarhetene til PHPs sikkerhetsteam 24. august 2026. Ifølge PHP Foundation la OpenAI til flere angrepsveier 18. september 2026. Ifølge Wiz bekreftet PHP rapportene og begynte å utvikle en koordinert rettelse 21. september 2026.

Den underliggende svakheten har en lang historie. Calif forteller at Stefan Esser fant den første PHP-sårbarheten for ekstern tilgang knyttet til minnegrensen i 2004, at en feil som beskrev en situasjon der minnet tar slutt, ble rapportert til prosjektet i 2020, og at en sikkerhetsgjennomgang i 2024 utført av OSTIF og Quarkslab fant problemet på nytt, uten å påvise at det kunne utnyttes. PHP Foundation skrev at sikkerhetsgjennomgangen i 2024 ble finansiert av Sovereign Tech Agency, og at arbeidet med en rettelse stanset og ble gjenopptatt flere ganger i løpet av flere måneder: «Vi skal ikke late som noe annet: Forsinkelsen skyldtes en strukturell svikt.»

OpenAI uttalte at de, gitt alvoret i sårbarhetene og den utbredte bruken av PHP, anser dette som en av de mest alvorlige sikkerhetshendelsene i nyere tid. Selskapet sa også at så vidt det kjenner til, fant avanserte KI-modeller sårbarhetene før angripere gjorde det, og dermed åpnet det selskapet kaller et «forsvarernes tidsvindu». OpenAI forpliktet seg til å gi førstelinjeforsvarere subsidiert tilgang til Daybreak til en verdi av 1 milliard dollar, og publiserte en PHP-versjonskontrollør som en Codex-ferdighet i GitHub-repositoriet openai/php2shell-checker.

En lekket varsling og et brudd på embargoen

PHP Foundation opplyser at den koordinerte varslingen ble holdt tilbake til to dager før den planlagte utgivelsesdatoen. Rundt kl. 15.00 UTC den 20. oktober 2026 begynte de to CVE-ID-ene å sirkulere på nettfora og sosiale medier, sammen med feil utgivelsestidspunkt og feil CVSS-poengsum på 10,0, men ingen tekniske detaljer ble lekket. PHP-prosjektet fremskyndet forhåndsvarslingen til kl. 19.30 samme dag og flyttet utgivelsen fra 22. oktober 2026 til 21. oktober 2026 kl. 14.00 UTC. Prosjektet oppga at distributørene fortsatt pakket inn rettelsen.

Rundt kl. 20.00 UTC den 20. oktober publiserte Calif ved en feil en video som viste at selskapets konseptbevis fungerte mot en rekke mål. Ifølge stiftelsen ble kopier av videoen spredt og bidro til at utviklingen av ulike konseptbevisutnyttelser gikk raskere den 21. oktober. Kl. 07.41 UTC den 21. oktober, mer enn seks timer før den koordinerte utgivelsen, brøt Chainguard ensidig embargoen og publiserte ferdigbygde avbildninger som inneholdt rettelsen, opplyser stiftelsen. PHPs sikkerhetsteam fulgte med på konseptbevisene som dukket opp etter lekkasjen, men fant ingen fungerende utnyttelser på tidspunktet for utgivelsen og den offentlige varslingen.

Myndighetskoordinering og et foreslått rammeverk

OpenAI sa at selskapet samarbeidet med partnere for å involvere flere deler av den amerikanske regjeringen, blant annet Det hvite hus’ Super Intelligence Force, Office of the National Cyber Director og Cybersecurity and Infrastructure Security Agency, samt internasjonale partnere, for å bidra til at sikkerhetsveiledningen nådde kritiske virksomheter. Wiz sa at selskapet før den offentlige varslingen samarbeidet med Google Cloud, Cloudflare, AWS, Microsoft, Automattic, Fastly, Akamai, Imperva, Vercel og andre om å utarbeide veiledning til kundene, deteksjonsmekanismer og tiltak som kunne tas i bruk umiddelbart, for virksomheter som ikke kunne oppdatere med en gang.

OpenAI publiserte også et foreslått rammeverk med fem trinn for å håndtere kritiske sårbarheter i programvare som er i utbredt bruk: å validere og rette sårbarheten i den opprinnelige programvaren, gi berørte virksomheter tid til å handle, koordinere med offentlige partnere, klargjøre oppdateringer for berørte produkter og publisere veiledning når en sikkerhetsoppdatering er tilgjengelig. Selskapet ba sikkerhetsmiljøet om tilbakemeldinger på fremgangsmåten.

PHP Foundation, som opprettet et team for økosystemsikkerhet i mai 2026 og ansatte Alexandre Daubois i juli 2026 og Daniel Scherzer i september 2026, sa at teamet har publisert 15 CVE-er siden 1. juli 2026, samtidig som det har behandlet mer enn 100 rapporter som viste seg å være ugyldige, duplikater eller ikke kunne gjenskapes. Stiftelsen ba om økonomisk støtte fra selskaper, hostingleverandører, skytjenester, distribusjonsprosjekter og myndigheter som driver tjenester på PHP.