PHP выпустил исправления двух критических уязвимостей удаленного выполнения кода, обнаруженных с помощью передовых моделей ИИ

21 октября 2026 года проект PHP выпустил версии PHP 8.5.12, 8.4.27, 8.3.36 и 8.2.35 — обновления безопасности, устраняющие две критические уязвимости, которые могут позволить удаленно выполнять код без аутентификации и были обнаружены с помощью передовых моделей ИИ. Координированное раскрытие информации объединило проект PHP, OpenAI, исследовательскую компанию в сфере кибербезопасности Calif и облачную компанию по кибербезопасности Wiz.

Выпущенные исправления

В бюллетене безопасности проекта PHP указано, что четыре выпуска устраняют CVE-2026-109618, описанную как удаленное выполнение кода вследствие повреждения памяти при ее исчерпании, и CVE-2026-109619, описанную как удаленное выполнение кода из-за устаревшего глобального состояния. В предварительном уведомлении от команды безопасности PHP от 20 октября 2026 года обеим уязвимостям присвоена оценка 9,2 по CVSS v4.0, а выпуск обновлений назначен на 14:00 UTC 21 октября.

Как указано в бюллетене, риску подвержены все установки PHP, обрабатывающие веб-запросы, в том числе PHP-FPM, Apache с mod_php, php-cgi, FrankenPHP и LiteSpeed. Наибольшим риск считается для mod_php: продемонстрированную атаку можно запустить неаутентифицированным запросом до выполнения любого кода приложения.

Проект сообщает, что полностью устранить риск другими способами нельзя и единственный безопасный вариант — установить обновления, хотя перечисляет временные настройки, снижающие подверженность отдельным типам атак. Дистрибутивы Linux и поставщики LTS-версий получили исправления заранее. Команда безопасности PHP также подготовила минимальные обратные переносы исправлений в исходный код для PHP 7.4, 8.0 и 8.1, которые больше не получают обновлений, и отметила, что поддержка PHP 8.2 завершится 31 декабря 2026 года.

Уязвимости и эксплойт Php2shell

В техническом отчете Wiz Research говорится, что CVE-2026-109618 включает ошибку use-after-free в десериализаторе отслеживания загрузки и раскрытие памяти удаленного процесса, а CVE-2026-109619 — ошибку use-after-free в трассировке стека при фатальной ошибке и путаницу типов в OPcache. Все эти проблемы связаны с безопасностью памяти и возникают из-за того, как PHP обрабатывает фатальные ошибки, особенно ошибки исчерпания памяти, при обработке запросов.

По данным Wiz, уязвимостям подвержена как минимум одна версия каждого выпуска PHP за последнее десятилетие, начиная с версии 5.4. Calif сообщила, что самый ранний уязвимый вариант, который ей удалось обнаружить, относится к PHP 5.4.0, а пути эксплуатации, зависящие от версии PHP и SAPI, всегда работают при настройках по умолчанию.

Wiz объединила уязвимости в один скрипт для эксплуатации под названием php2shell и продемонстрировала удаленное выполнение кода без аутентификации на последних образах контейнеров WordPress, Drupal и Joomla. Кроме того, компания показала, что можно раскрыть память рабочих процессов PHP независимо от приложения; в ней могут храниться пароли, токены аутентификации, ключи API и сертификаты. В отчете Calif подтверждено удаленное выполнение кода до аутентификации в WordPress 7.1.2, Drupal 11.4.3, Joomla 6.1.4, MediaWiki 1.46.2, Roundcube 1.7.4, Magento 2.4.9, phpMyAdmin 5.2.3, Nextcloud 35.0.1, Laravel 13.11, Symfony 8.1 и WHMCS, а в некоторых случаях — и в произвольных скриптах PHP.

По данным Wiz, PHP обеспечивает работу 70% всех веб-сайтов, включая сайты на WordPress, Joomla и Drupal, а также Wikipedia на MediaWiki. Компания относит выявленные уязвимости к числу самых серьезных из обнаруженных в PHP.

Как передовые модели ИИ обнаружили уязвимости

OpenAI сообщила, что в течение последних двух месяцев возглавляла коалицию разработчиков, исследователей и поставщиков средств безопасности, работавшую над устранением уязвимостей. В рамках инициативы OpenAI Patch the Planet компания Calif обнаружила критическую уязвимость с помощью модели GPT-5.6 Sol, а Wiz независимо выявила обе уязвимости и сообщила о них. Разработчики PHP руководили исправлением уязвимостей и выпуском обновлений.

Хронология событий, составленная участниками, показывает, что независимые исследования шли параллельно. Согласно данным PHP Foundation, Calif начала аудит 30 июля 2026 года, а исследователь Calif Райан А сообщил о безусловном удаленном выполнении кода 11 августа 2026 года; в тот же день OpenAI независимо сообщила о той же первопричине. В отчете Calif датой обнаружения указано 1 августа 2026 года; подтверждение возможности эксплуатации (proof of concept) было передано PHP 14 августа 2026 года, PHP подтвердил проблему 15 августа 2026 года, а о второй ошибке сообщили 21 августа 2026 года.

Wiz сообщает, что обнаружила первую уязвимость 19 августа 2026 года с помощью Wiz Atlas, Gemini 4 Argon и GPT-5.6 Sol, подтвердила возможность выполнения кода без аутентификации в Drupal 20 августа 2026 года и в WordPress 21 августа, а 24 августа 2026 года сообщила об уязвимостях команде безопасности PHP. По данным PHP Foundation, 18 сентября 2026 года OpenAI добавила другие векторы атаки, а PHP, согласно Wiz, подтвердил получение сообщений и 21 сентября 2026 года начал разрабатывать согласованное исправление.

У этой уязвимости долгая история. Calif сообщает, что в 2004 году Стефан Эссер обнаружил первую удаленную уязвимость PHP, связанную с ограничением памяти; в 2020 году проекту сообщили об ошибке, вызывающей исчерпание памяти; а аудит, проведенный OSTIF и Quarkslab в 2024 году, вновь выявил проблему, но не подтвердил возможность ее эксплуатации. PHP Foundation написала, что аудит 2024 года финансировало Sovereign Tech Agency, а работу над исправлением на протяжении нескольких месяцев неоднократно приостанавливали и возобновляли: «Не будем делать вид, что это не так: задержка стала следствием системного сбоя».

OpenAI заявила, что, учитывая серьезность уязвимостей и широкое распространение PHP, считает этот инцидент одним из самых значимых для безопасности за последнее время. Компания также сообщила, что, насколько ей известно, передовые модели ИИ обнаружили уязвимости раньше злоумышленников, открыв то, что она называет «окном возможностей для защитников». OpenAI выделила 1 млрд долларов на субсидированный доступ к Daybreak для специалистов, непосредственно занимающихся защитой, и опубликовала средство проверки версий PHP в виде навыка Codex в репозитории openai/php2shell-checker на GitHub.

Утечка информации об уязвимостях и срыв эмбарго

По данным PHP Foundation, согласованное раскрытие информации сохранялось в тайне до двух дней перед запланированной датой выпуска исправления. Около 15:00 UTC 20 октября 2026 года на интернет-форумах и в социальных сетях начали распространяться два идентификатора CVE с неверно указанными временем выпуска и оценкой CVSS 10.0, однако технические подробности не просочились. Проект PHP перенес предварительное объявление на 19:30 UTC того же дня, а выпуск — с 22 октября 2026 года на 14:00 UTC 21 октября 2026 года, сообщив, что дистрибутивы все еще упаковывают исправление.

По данным PHP Foundation, около 20:00 UTC 20 октября Calif по ошибке опубликовал видео, демонстрирующее, как его эксплойт для подтверждения концепции работает против ряда целей. Копии видео разошлись по сети и способствовали ускоренной разработке различных эксплойтов для подтверждения концепции 21 октября. По сообщению PHP Foundation, в 07:41 UTC 21 октября, более чем за шесть часов до согласованного выпуска, Chainguard в одностороннем порядке нарушила эмбарго и опубликовала собранные образы с исправлением. Команда безопасности PHP отслеживала эксплойты для подтверждения концепции, появившиеся после утечки, но на момент выпуска и публичного раскрытия информации не обнаружила ни одного работоспособного эксплойта.

Взаимодействие с правительствами и предлагаемая схема действий

OpenAI сообщила, что вместе с партнерами взаимодействовала с различными структурами правительства США, включая Силы по сверхинтеллекту при Белом доме, Управление национального директора по кибербезопасности и Агентство по кибербезопасности и защите инфраструктуры, а также с международными партнерами, чтобы рекомендации по безопасности дошли до организаций, играющих критически важную роль. Wiz сообщила, что до публичного раскрытия уязвимостей сотрудничала с Google Cloud, Cloudflare, AWS, Microsoft, Automattic, Fastly, Akamai, Imperva, Vercel и другими компаниями, готовя рекомендации для клиентов, средства обнаружения угроз и готовые к применению меры снижения рисков для организаций, которые не могут немедленно установить обновления.

OpenAI также опубликовала предлагаемый план из пяти этапов реагирования на критические уязвимости в широко используемом программном обеспечении: проверка уязвимости в исходном проекте и ее устранение; предоставление затронутым организациям времени на принятие мер; координация действий с государственными партнерами; подготовка обновлений для всех затронутых продуктов; публикация рекомендаций после выхода исправления. Компания попросила сообщество специалистов по безопасности высказать свое мнение об этом подходе.

PHP Foundation, создавшая команду по безопасности экосистемы в мае 2026 года и нанявшая Alexandre Daubois в июле 2026 года и Daniel Scherzer в сентябре 2026 года, сообщила, что с 1 июля 2026 года команда опубликовала 15 записей CVE и обработала более 100 сообщений, которые оказались ошибочными, дублирующими или невоспроизводимыми. Фонд призвал к спонсорской поддержке компании, хостинг-провайдеры, облачные платформы, разработчиков дистрибутивов и правительства, чьи сервисы работают на PHP.