PHP remediază două vulnerabilități critice de executare a codului de la distanță, descoperite cu ajutorul unor modele AI de frontieră

Proiectul PHP a lansat PHP 8.5.12, 8.4.27, 8.3.36 și 8.2.35 pe 21 octombrie 2026. Aceste versiuni de securitate remediază două vulnerabilități critice care pot permite executarea de cod de la distanță fără autentificare și care au fost descoperite cu ajutorul unor modele AI de frontieră. Dezvăluirea coordonată a implicat proiectul PHP, OpenAI, firma de cercetare în domeniul securității Calif și compania de securitate cloud Wiz.

Versiunile cu remedieri

Conform avizului de securitate al proiectului PHP, cele patru versiuni remediază CVE-2026-109618, descrisă ca executare de cod de la distanță prin coruperea memoriei cauzată de epuizarea acesteia, și CVE-2026-109619, descrisă ca executare de cod de la distanță prin starea globală învechită. Într-o notificare transmisă în avans pe 20 octombrie 2026, echipa de securitate PHP a evaluat ambele vulnerabilități la 9,2 conform CVSS v4.0 și a programat lansarea pentru 14:00 UTC pe 21 octombrie.

Conform avizului, toate instalările PHP care gestionează solicitări web sunt expuse riscului, inclusiv PHP-FPM, Apache cu mod_php, php-cgi, FrankenPHP și LiteSpeed. Riscul este considerat cel mai ridicat pentru mod_php, unde un atac demonstrat poate fi declanșat printr-o solicitare fără autentificare, înainte de executarea oricărui cod al aplicației.

Proiectul afirmă că nu există măsuri complete de atenuare și că actualizarea este singura opțiune sigură, deși enumeră setări provizorii care reduc expunerea la anumite căi de atac. Distribuțiile Linux și furnizorii LTS au primit remedierile în avans. Echipa de securitate PHP a furnizat, de asemenea, backportări minime ale codului sursă pentru PHP 7.4, 8.0 și 8.1, versiuni care nu mai primesc actualizări, și a precizat că PHP 8.2 ajunge la sfârșitul ciclului de viață pe 31 decembrie 2026.

Vulnerabilitățile și exploitul php2shell

Dezvăluirea tehnică a Wiz Research descrie CVE-2026-109618 ca incluzând o vulnerabilitate de tip use-after-free în deserializatorul care gestionează progresul încărcărilor și divulgarea de la distanță a memoriei procesului, iar CVE-2026-109619 ca incluzând o vulnerabilitate de tip use-after-free în backtrace-ul unei erori fatale și o confuzie de tipuri în OPcache. Toate sunt probleme de siguranță a memoriei, care rezultă din modul în care PHP gestionează erorile fatale, în special cele cauzate de epuizarea memoriei, în timpul procesării solicitărilor.

Wiz a declarat că toate versiunile PHP lansate în ultimul deceniu sunt afectate de cel puțin una dintre vulnerabilități, începând cu versiunea 5.4. Calif a raportat că cea mai veche cale vulnerabilă identificată datează din PHP 5.4.0 și că metodele de exploatare, care depind de versiunea PHP și de SAPI, sunt întotdeauna exploatabile în configurațiile implicite.

Wiz a combinat vulnerabilitățile într-un singur script de exploatare, numit php2shell, și a demonstrat executarea de cod de la distanță fără autentificare asupra celor mai recente imagini container pentru WordPress, Drupal și Joomla. Separat, a demonstrat divulgarea memoriei proceselor worker PHP, independent de aplicație; aceasta poate conține parole, tokenuri de autentificare, chei API și certificate. Analiza publicată de Calif raportează executarea de cod de la distanță confirmată înainte de autentificare pe WordPress 7.1.2, Drupal 11.4.3, Joomla 6.1.4, MediaWiki 1.46.2, Roundcube 1.7.4, Magento 2.4.9, phpMyAdmin 5.2.3, Nextcloud 35.0.1, Laravel 13.11, Symfony 8.1 și WHMCS, precum și pe scripturi PHP arbitrare în unele cazuri.

Wiz afirmă că PHP stă la baza a 70% dintre toate site-urile web, inclusiv WordPress, Joomla, Drupal și MediaWiki, platforma Wikipedia, și clasifică vulnerabilitățile descoperite printre cele mai grave identificate în PHP.

Cum au descoperit vulnerabilitățile modelele AI de frontieră

OpenAI a declarat că, în ultimele două luni, a condus o coaliție de responsabili cu mentenanța, cercetători și furnizori de servicii de securitate pentru remedierea vulnerabilităților. În cadrul inițiativei Patch the Planet a OpenAI, Calif a identificat o vulnerabilitate critică folosind modelul său GPT-5.6 Sol, iar Wiz a descoperit și raportat independent ambele vulnerabilități. Responsabilii cu mentenanța PHP au coordonat remedierile și lansarea versiunilor.

Cronologiile participanților arată că descoperirile independente s-au suprapus. PHP Foundation consemnează că Calif și-a început auditul pe 30 iulie 2026 și că cercetătorul Calif Ryan A a raportat o vulnerabilitate care permitea executarea necondiționată de cod de la distanță pe 11 august 2026; în aceeași zi, OpenAI a raportat independent aceeași cauză fundamentală. Potrivit relatării Calif, vulnerabilitatea a fost descoperită pe 1 august 2026, o dovadă de concept pentru executarea de cod de la distanță a fost transmisă către PHP pe 14 august 2026, PHP a confirmat problema pe 15 august 2026, iar o a doua eroare a fost raportată pe 21 august 2026.

Wiz afirmă că a descoperit prima vulnerabilitate pe 19 august 2026 cu ajutorul Wiz Atlas, Gemini 4 Argon și GPT-5.6 Sol, a confirmat executarea de cod fără autentificare asupra Drupal pe 20 august 2026 și asupra WordPress pe 21 august și a raportat vulnerabilitățile echipei de securitate PHP pe 24 august 2026. Potrivit PHP Foundation, OpenAI a adăugat vectori de atac suplimentari pe 18 septembrie 2026, iar PHP a confirmat primirea rapoartelor și a început să dezvolte o remediere coordonată pe 21 septembrie 2026, conform Wiz.

Punctul slab de la baza problemei are o istorie îndelungată. Calif relatează că Stefan Esser a descoperit prima vulnerabilitate PHP de la distanță legată de limita de memorie în 2004, că în 2020 a fost raportată proiectului o eroare care descria o situație de epuizare a memoriei și că un audit realizat în 2024 de OSTIF și Quarkslab a redescoperit problema, fără a demonstra că putea fi exploatată. PHP Foundation a scris că auditul din 2024 a fost finanțat de Sovereign Tech Agency și că lucrările la o remediere au stagnat și au fost reluate în mod repetat, timp de mai multe luni: „Nu vom pretinde contrariul: întârzierea a fost un eșec structural.”

OpenAI a declarat că, având în vedere gravitatea vulnerabilităților și utilizarea pe scară largă a PHP, consideră că acestea reprezintă una dintre cele mai semnificative probleme de securitate din ultima vreme. Compania a mai spus că, din câte știe, modelele de IA de ultimă generație au descoperit vulnerabilitățile înaintea atacatorilor, deschizând ceea ce numește „fereastra apărătorilor”. OpenAI s-a angajat să ofere acces subvenționat la Daybreak, în valoare de 1 miliard de dolari, celor aflați în prima linie a apărării și a publicat un verificator al versiunilor PHP sub forma unei competențe Codex în depozitul GitHub openai/php2shell-checker.

O dezvăluire scursă și încălcarea embargoului

Fundația PHP relatează că dezvăluirea coordonată a rămas confidențială până cu două zile înainte de data planificată pentru lansare. În jurul orei 15:00 UTC, pe 20 octombrie 2026, cele două ID-uri CVE au început să circule pe forumuri online și pe rețelele sociale, însoțite de o oră de lansare incorectă și de un scor CVSS greșit, de 10,0, deși nu s-au scurs detalii tehnice. Proiectul PHP a mutat preanunțul la ora 19:30 UTC în aceeași zi și a devansat lansarea de la 22 octombrie 2026 la 21 octombrie 2026, ora 14:00 UTC, precizând că distribuitorii încă pregăteau pachetele cu remedierea.

În jurul orei 20:00 UTC, pe 20 octombrie, Calif a publicat din greșeală un videoclip care arăta cum funcționa dovada de concept împotriva mai multor ținte, iar copiile acestuia au circulat și au contribuit la accelerarea dezvoltării diverselor exploituri bazate pe dovezi de concept pe 21 octombrie, potrivit Fundației. La ora 07:41 UTC, pe 21 octombrie, cu mai mult de șase ore înainte de lansarea coordonată, Chainguard a încălcat unilateral embargoul și a publicat imagini de sistem construite care includeau remedierea, relatează Fundația. Echipa de securitate PHP a monitorizat dovezile de concept apărute după scurgerea informațiilor, dar nu a identificat niciun exploit funcțional la momentul lansării și al dezvăluirii publice.

Coordonarea cu guvernele și un cadru propus

OpenAI a declarat că a colaborat cu parteneri pentru a implica mai multe structuri ale guvernului SUA, inclusiv Super Intelligence Force de la Casa Albă, Biroul Directorului Național pentru Securitate Cibernetică și Agenția pentru Securitate Cibernetică și Infrastructură, precum și parteneri internaționali, pentru a ajuta ca recomandările de securitate să ajungă la organizațiile esențiale. Wiz a declarat că, înainte de dezvăluirea publică, a colaborat cu Google Cloud, Cloudflare, AWS, Microsoft, Automattic, Fastly, Akamai, Imperva, Vercel și alții pentru a pregăti recomandări pentru clienți, mecanisme de detectare și măsuri de atenuare gata de utilizare pentru organizațiile care nu pot instala imediat actualizarea.

OpenAI a publicat și un cadru propus, în cinci etape, pentru gestionarea vulnerabilităților critice din programele utilizate pe scară largă: validarea și remedierea vulnerabilității din amonte, acordarea unui interval de timp organizațiilor afectate pentru a acționa, coordonarea cu partenerii guvernamentali, pregătirea actualizărilor pentru produsele afectate și publicarea recomandărilor odată ce este disponibil un patch. Compania a solicitat comunității de securitate să ofere feedback cu privire la această abordare.

Fundația PHP, care a înființat o Echipă de securitate a ecosistemului în mai 2026 și i-a angajat pe Alexandre Daubois în iulie 2026 și pe Daniel Scherzer în septembrie 2026, a declarat că echipa a publicat 15 CVE-uri începând cu 1 iulie 2026, în timp ce analiza peste 100 de raportări care s-au dovedit nevalide, duplicate sau imposibil de reprodus. Fundația a făcut apel la companii, furnizori de găzduire, platforme cloud, distribuitori și guverne ale căror servicii rulează pe PHP să ofere sponsorizări.