PHP łata dwie krytyczne luki RCE wykryte przy użyciu najnowocześniejszych modeli AI

Projekt PHP opublikował 21 października 2026 r. wersje PHP 8.5.12, 8.4.27, 8.3.36 i 8.2.35. Te wydania bezpieczeństwa usuwają dwie krytyczne luki, które mogą umożliwić zdalne wykonanie kodu bez uwierzytelnienia i zostały wykryte przy użyciu najnowocześniejszych modeli AI. Skoordynowane ujawnienie luk objęło projekt PHP, OpenAI, firmę badawczą z branży bezpieczeństwa Calif oraz firmę zajmującą się bezpieczeństwem chmury Wiz.

Wydania z poprawkami

Biuletyn bezpieczeństwa projektu PHP podaje, że cztery wydania usuwają luki CVE-2026-109618, opisaną jako zdalne wykonanie kodu wskutek uszkodzenia pamięci przy jej wyczerpaniu, oraz CVE-2026-109619, opisaną jako zdalne wykonanie kodu wskutek nieaktualnego stanu globalnego. W opublikowanym z wyprzedzeniem komunikacie z 20 października 2026 r. zespół ds. bezpieczeństwa PHP przypisał obu lukom ocenę 9.2 w skali CVSS v4.0 i zapowiedział wydanie poprawek na 21 października o 14:00 UTC.

Zagrożone są wszystkie instalacje PHP obsługujące żądania internetowe — podaje biuletyn — w tym PHP-FPM, Apache z mod_php, php-cgi, FrankenPHP i LiteSpeed. Za najbardziej narażone uznaje się instalacje z mod_php, w których wykazany exploit można uruchomić za pomocą nieuwierzytelnionego żądania, zanim zostanie wykonany jakikolwiek kod aplikacji.

Projekt informuje, że nie ma sposobu na całkowite ograniczenie zagrożenia i że jedynym bezpiecznym rozwiązaniem jest aktualizacja, choć wymienia tymczasowe ustawienia zmniejszające narażenie na konkretne ścieżki ataku. Dystrybucje Linuksa i dostawcy wersji z długoterminowym wsparciem otrzymali poprawki z wyprzedzeniem. Zespół ds. bezpieczeństwa PHP udostępnił również minimalne poprawki przeniesione do kodu źródłowego wersji PHP 7.4, 8.0 i 8.1, które nie są już aktualizowane, i zaznaczył, że okres wsparcia PHP 8.2 zakończy się 31 grudnia 2026 r.

Luki i exploit php2shell

Opis techniczny badaczy Wiz wskazuje, że CVE-2026-109618 obejmuje błąd użycia zwolnionej pamięci w deserializatorze obsługującym postęp przesyłania plików oraz ujawnienie zawartości pamięci zdalnego procesu, a CVE-2026-109619 — błąd użycia zwolnionej pamięci w śladzie stosu po błędzie krytycznym oraz błędną interpretację typu w OPcache. Wszystkie te problemy dotyczą bezpieczeństwa pamięci i wynikają ze sposobu, w jaki PHP obsługuje błędy krytyczne, zwłaszcza błędy związane z wyczerpaniem pamięci, podczas przetwarzania żądań.

Wiz poinformowała, że podatna jest każda wersja PHP wydana w ciągu ostatnich dziesięciu lat, począwszy od wersji 5.4. Calif podała, że najstarsza znaleziona przez nią podatna ścieżka sięga PHP 5.4.0, a ścieżki wykorzystania luk — zależne od wersji PHP i SAPI — są zawsze podatne na atak przy domyślnej konfiguracji.

Wiz połączyła luki w jeden skrypt exploita o nazwie php2shell i zademonstrowała zdalne wykonanie kodu bez uwierzytelnienia na najnowszych obrazach kontenerów WordPressa, Drupala i Joomli. Osobno zademonstrowała ujawnianie pamięci procesów roboczych PHP niezależnie od aplikacji; pamięć ta może zawierać hasła, tokeny uwierzytelniające, klucze API i certyfikaty. W opisie Calif podano potwierdzone przypadki zdalnego wykonania kodu przed uwierzytelnieniem w WordPressie 7.1.2, Drupalu 11.4.3, Joomli 6.1.4, MediaWiki 1.46.2, Roundcube 1.7.4, Magento 2.4.9, phpMyAdmin 5.2.3, Nextcloud 35.0.1, Laravel 13.11, Symfony 8.1 i WHMCS, a także w niektórych przypadkach w dowolnych skryptach PHP.

Wiz podaje, że PHP napędza 70% wszystkich witryn internetowych, w tym WordPressa, Joomlę, Drupala i MediaWiki Wikipedii, a wykryte luki zalicza do najpoważniejszych w historii PHP.

Jak najnowocześniejsze modele AI wykryły luki

OpenAI poinformowała, że w ciągu ostatnich dwóch miesięcy przewodziła koalicji opiekunów projektów, badaczy i dostawców rozwiązań bezpieczeństwa, której celem było usunięcie luk. Calif wykryła krytyczną lukę przy użyciu modelu GPT-5.6 Sol w ramach inicjatywy OpenAI Patch the Planet, a Wiz niezależnie odkryła i zgłosiła obie luki. Opiekunowie PHP kierowali pracami nad poprawkami i wydaniem aktualizacji.

Zestawienia chronologiczne uczestników pokazują, że niezależne odkrycia częściowo pokrywały się w czasie. PHP Foundation odnotowuje, że Calif rozpoczęła audyt 30 lipca 2026 r., a badacz Calif Ryan A zgłosił bezwarunkowe zdalne wykonanie kodu 11 sierpnia 2026 r.; tego samego dnia OpenAI niezależnie zgłosiła tę samą przyczynę źródłową. Według relacji Calif luka została odkryta 1 sierpnia 2026 r., dowód koncepcji RCE przekazano PHP 14 sierpnia 2026 r., PHP potwierdziło lukę 15 sierpnia 2026 r., a drugą lukę zgłoszono 21 sierpnia 2026 r.

Wiz podaje, że pierwszą lukę wykryła 19 sierpnia 2026 r. przy użyciu Wiz Atlas, Gemini 4 Argon i GPT-5.6 Sol, a 20 sierpnia 2026 r. potwierdziła możliwość wykonania kodu bez uwierzytelnienia w Drupalu, zaś 21 sierpnia — w WordPressie. Luki zgłosiła zespołowi ds. bezpieczeństwa PHP 24 sierpnia 2026 r. Według PHP Foundation OpenAI dodała kolejne wektory ataku 18 września 2026 r., a według Wiz PHP potwierdziło otrzymanie zgłoszeń i rozpoczęło prace nad skoordynowaną poprawką 21 września 2026 r.

Podstawowa słabość ma długą historię. Calif przypomina, że Stefan Esser odkrył pierwszą zdalną lukę w PHP związaną z limitem pamięci w 2004 r., że w 2020 r. zgłoszono projektowi błąd dotyczący wyczerpania pamięci, a audyt przeprowadzony w 2024 r. przez OSTIF i Quarkslab ponownie ujawnił problem, ale nie potwierdził możliwości jego wykorzystania. PHP Foundation napisała, że audyt z 2024 r. sfinansowała Sovereign Tech Agency, a prace nad poprawką przez wiele miesięcy wielokrotnie przerywano i wznawiano: „Nie będziemy udawać, że było inaczej: opóźnienie było porażką o charakterze strukturalnym”.

OpenAI oświadczyło, że ze względu na powagę luk i powszechne wykorzystanie PHP uważa tę sprawę za jeden z najpoważniejszych problemów bezpieczeństwa ostatnich lat. Dodało, że według jego wiedzy to zaawansowane modele AI wykryły luki, zanim zrobili to atakujący, otwierając — jak określa to firma — «okno dla obrońców». Firma zobowiązała się przeznaczyć 1 mld dolarów na subsydiowany dostęp do Daybreak dla osób zajmujących się obroną w pierwszej linii, a w repozytorium GitHub openai/php2shell-checker opublikowała weryfikator wersji PHP w postaci umiejętności Codex.

Wyciek informacji i złamanie embarga

PHP Foundation informuje, że skoordynowane ujawnienie informacji utrzymano w tajemnicy do dwóch dni przed planowaną datą wydania poprawki. Około 15:00 UTC 20 października 2026 r. w internetowych forach i mediach społecznościowych zaczęły krążyć dwa identyfikatory CVE, którym przypisano błędną godzinę wydania i nieprawidłowy wynik CVSS wynoszący 10,0, choć nie wyciekły żadne szczegóły techniczne. Projekt PHP przesunął zapowiedź wydania na 19:30 UTC tego samego dnia, a datę wydania zmienił z 22 października 2026 r. na 21 października 2026 r. o 14:00 UTC. Poinformował, że dystrybutorzy wciąż przygotowywali poprawkę do publikacji.

Jak informuje PHP Foundation, około 20:00 UTC 20 października Calif omyłkowo opublikował film pokazujący, że jego demonstracja koncepcji działa w przypadku wielu celów. Kopie filmu zaczęły krążyć w sieci i przyczyniły się do przyspieszenia prac nad różnymi exploitami typu proof of concept 21 października. PHP Foundation informuje, że o 07:41 UTC 21 października — ponad sześć godzin przed skoordynowanym wydaniem — Chainguard jednostronnie złamał embargo i opublikował zbudowane obrazy zawierające poprawkę. Zespół ds. bezpieczeństwa PHP monitorował demonstracje koncepcji, które pojawiły się po wycieku, ale w chwili wydania poprawki i publicznego ujawnienia informacji nie wykrył żadnych działających exploitów.

Koordynacja działań z rządem i proponowane ramy postępowania

OpenAI poinformowało, że współpracowało z partnerami, by zaangażować różne instytucje rządu USA, w tym Siły ds. Superinteligencji przy Białym Domu, Biuro Krajowego Dyrektora ds. Cyberbezpieczeństwa oraz Agencję ds. Cyberbezpieczeństwa i Bezpieczeństwa Infrastruktury, a także partnerów międzynarodowych. Celem było dotarcie z wytycznymi dotyczącymi bezpieczeństwa do organizacji o kluczowym znaczeniu. Wiz poinformował, że przed publicznym ujawnieniem informacji współpracował z Google Cloud, Cloudflare, AWS, Microsoft, Automattic, Fastly, Akamai, Imperva, Vercel i innymi firmami nad przygotowaniem wytycznych dla klientów, mechanizmów wykrywania zagrożeń oraz zabezpieczeń gotowych do użycia przez organizacje, które nie mogą od razu zaktualizować oprogramowania.

OpenAI opublikowało również propozycję pięcioetapowych ram postępowania w przypadku krytycznych luk w powszechnie używanym oprogramowaniu: weryfikację i usunięcie luki w oprogramowaniu źródłowym, zapewnienie organizacjom, których dotyczy problem, czasu na podjęcie działań, koordynację z partnerami rządowymi, przygotowanie aktualizacji dla wszystkich produktów, których dotyczy luka, oraz opublikowanie wytycznych po udostępnieniu poprawki. Firma poprosiła społeczność zajmującą się bezpieczeństwem o opinie na temat tego podejścia.

PHP Foundation, która utworzyła Zespół ds. bezpieczeństwa ekosystemu w maju 2026 r. oraz zatrudniła Alexandre’a Daubois w lipcu 2026 r. i Daniela Scherzera we wrześniu 2026 r., poinformowała, że od 1 lipca 2026 r. zespół opublikował 15 identyfikatorów CVE, a jednocześnie przeanalizował ponad 100 zgłoszeń, które okazały się niezasadne, powielone lub niemożliwe do odtworzenia. Fundacja zaapelowała o wsparcie finansowe do firm, dostawców hostingu, platform chmurowych, dystrybucji i rządów, których usługi działają w oparciu o PHP.