PHP åtgärdar två kritiska RCE-sårbarheter som upptäckts med avancerade AI-modeller

PHP-projektet släppte PHP 8.5.12, 8.4.27, 8.3.36 och 8.2.35 den 21 oktober 2026. Säkerhetsuppdateringarna åtgärdar två kritiska sårbarheter som kan möjliggöra fjärrkodskörning utan autentisering och som upptäcktes med hjälp av avancerade AI-modeller. Det samordnade offentliggörandet involverade PHP-projektet, OpenAI, säkerhetsforskningsföretaget Calif och molnsäkerhetsföretaget Wiz.

De uppdaterade versionerna

PHP-projektets säkerhetsmeddelande uppger att de fyra versionerna åtgärdar CVE-2026-109618, som beskrivs som fjärrkodskörning via korruption vid minnesbrist, och CVE-2026-109619, som beskrivs som fjärrkodskörning via föråldrat globalt tillstånd. I ett förhandsmeddelande den 20 oktober 2026 satte PHP:s säkerhetsteam betyget 9,2 enligt CVSS v4.0 för båda sårbarheterna och meddelade att uppdateringen skulle släppas klockan 14.00 UTC den 21 oktober.

Alla PHP-installationer som hanterar webbförfrågningar är utsatta, enligt säkerhetsmeddelandet. Det gäller bland annat PHP-FPM, Apache med mod_php, php-cgi, FrankenPHP och LiteSpeed. Risken bedöms vara störst för mod_php, där en demonstrerad exploatering kan utlösas av en förfrågan utan autentisering, innan någon programkod körs.

Projektet uppger att det inte finns några fullständiga sätt att begränsa risken och att uppdatering är det enda säkra alternativet, men listar samtidigt tillfälliga inställningar som minskar exponeringen för vissa angreppsvägar. Linuxdistributioner och LTS-leverantörer fick korrigeringarna i förväg. PHP:s säkerhetsteam tillhandahöll också minimala bakåtporteringar av källkodskorrigeringarna för PHP 7.4, 8.0 och 8.1, som inte längre får uppdateringar, och påpekade att PHP 8.2 når slutet av sin livscykel den 31 december 2026.

Sårbarheterna och php2shell-exploateringen

Wiz Researchs tekniska redogörelse beskriver CVE-2026-109618 som en sårbarhet som omfattar en use-after-free i en avserialiserare för förloppsdata vid uppladdning samt ett fjärrutlämnande av processminne. CVE-2026-109619 omfattar enligt redogörelsen en use-after-free i en stackspårning vid fatala fel och typförväxling i OPcache. Samtliga är minnessäkerhetsproblem som beror på hur PHP hanterar fatala fel, särskilt minnesbrist, när förfrågningar behandlas.

Wiz uppgav att varje PHP-version som släppts under det senaste årtiondet påverkas av minst en av sårbarheterna, ända tillbaka till version 5.4. Calif rapporterade att den tidigaste berörda angreppsvägen som företaget hittade går tillbaka till PHP 5.4.0 och att angreppsvägarna, som beror på PHP-versionen och SAPI, alltid kan utnyttjas med standardkonfigurationer.

Wiz slog samman sårbarheterna i ett enda exploateringsskript med namnet php2shell och demonstrerade fjärrkodskörning utan autentisering mot de senaste containeravbildningarna av WordPress, Drupal och Joomla. Separat demonstrerade företaget hur minne från PHP-arbetarprocesser kan läsas ut oberoende av vilket program som används; minnet kan innehålla lösenord, autentiseringstoken, API-nycklar och certifikat. Califs redogörelse rapporterar bekräftad fjärrkodskörning före autentisering i WordPress 7.1.2, Drupal 11.4.3, Joomla 6.1.4, MediaWiki 1.46.2, Roundcube 1.7.4, Magento 2.4.9, phpMyAdmin 5.2.3, Nextcloud 35.0.1, Laravel 13.11, Symfony 8.1 och WHMCS, samt i vissa fall i godtyckliga PHP-skript.

Wiz beskriver PHP som plattformen bakom 70 % av alla webbplatser, däribland WordPress, Joomla, Drupal och Wikipedias MediaWiki, och bedömer att resultaten hör till de allvarligaste sårbarheter som upptäckts i PHP.

Så upptäckte avancerade AI-modeller sårbarheterna

OpenAI uppgav att företaget under de senaste två månaderna lett en koalition av underhållsansvariga, forskare och säkerhetsleverantörer för att åtgärda sårbarheterna. Calif identifierade en kritisk sårbarhet med sin modell GPT-5.6 Sol som en del av OpenAI:s initiativ Patch the Planet, medan Wiz på egen hand upptäckte och rapporterade båda sårbarheterna. PHP:s underhållsansvariga ledde arbetet med korrigeringarna och utgivningen.

Deltagarnas tidslinjer visar att de gjorde oberoende upptäckter under överlappande perioder. PHP Foundation uppger att Calif inledde sin granskning den 30 juli 2026 och att Calif-forskaren Ryan A rapporterade fjärrkodskörning utan villkor den 11 augusti 2026. OpenAI rapporterade oberoende av Calif samma grundorsak samma dag. Califs redogörelse anger att sårbarheten upptäcktes den 1 augusti 2026, att ett proof of concept för fjärrkodskörning delades med PHP den 14 augusti 2026, att PHP bekräftade sårbarheten den 15 augusti 2026 och att en andra bugg rapporterades den 21 augusti 2026.

Wiz uppger att företaget upptäckte den första sårbarheten den 19 augusti 2026 med hjälp av Wiz Atlas, Gemini 4 Argon och GPT-5.6 Sol. Företaget bekräftade kodkörning utan autentisering mot Drupal den 20 augusti 2026 och WordPress den 21 augusti, och rapporterade sårbarheterna till PHP:s säkerhetsteam den 24 augusti 2026. Enligt PHP Foundation lade OpenAI till ytterligare angreppsvägar den 18 september 2026. Enligt Wiz bekräftade PHP rapporterna och började ta fram en samordnad korrigering den 21 september 2026.

Den underliggande svagheten har en lång historia. Calif berättar att Stefan Esser hittade den första fjärrsårbarheten i PHP kopplad till minnesgränsen 2004, att en bugg som beskrev ett tillstånd med minnesbrist rapporterades till projektet 2020 och att en granskning av OSTIF och Quarkslab 2024 återupptäckte problemet utan att visa att det gick att utnyttja. PHP Foundation skrev att granskningen 2024 finansierades av Sovereign Tech Agency och att arbetet med en korrigering stannade av och återupptogs upprepade gånger under flera månader: ”Vi tänker inte låtsas något annat: förseningen berodde på ett strukturellt misslyckande.”

OpenAI uppgav att bolaget, med tanke på sårbarheternas allvar och PHP:s utbredda användning, betraktar detta som ett av de mest betydande säkerhetsproblemen på senare tid. Såvitt bolaget känner till upptäckte avancerade AI-modeller sårbarheterna innan angripare gjorde det, vilket öppnade vad OpenAI kallar ett tidsfönster för försvarare. Företaget åtog sig att subventionera tillgång till Daybreak för 1 miljard dollar för försvarare i frontlinjen och publicerade en PHP-versionskontroll som en Codex-färdighet i GitHub-arkivet openai/php2shell-checker.

Ett avslöjande läcker ut och embargot bryts

PHP Foundation uppger att det samordnade offentliggörandet skulle ske först två dagar före det planerade lanseringsdatumet. Vid cirka 15:00 UTC den 20 oktober 2026 började de två CVE-ID-numren cirkulera på nätforum och i sociala medier, tillsammans med en felaktig tidpunkt för lanseringen och ett felaktigt CVSS-värde på 10.0, men inga tekniska detaljer läckte ut. PHP-projektet flyttade sitt förhandsbesked till 19:30 UTC samma dag och ändrade lanseringen från den 22 oktober 2026 till den 21 oktober 2026 kl. 14:00 UTC. Projektet uppgav att distributörerna fortfarande höll på att paketera korrigeringen.

Vid cirka 20:00 UTC den 20 oktober publicerade Calif av misstag en video som visade att dess konceptbevis fungerade mot ett antal mål. Enligt stiftelsen spreds kopior av videon och bidrog till att olika proof-of-concept-exploater utvecklades snabbare den 21 oktober. PHP Foundation uppger att Chainguard ensidigt bröt embargot kl. 07:41 UTC den 21 oktober, mer än sex timmar före det samordnade offentliggörandet, och publicerade byggda avbildningar som innehöll korrigeringen. PHP:s säkerhetsteam följde de konceptbevis som dök upp efter läckan, men identifierade inga fungerande exploater vid tidpunkten för lanseringen och det offentliga offentliggörandet.

Samordning med myndigheter och ett föreslaget ramverk

OpenAI uppgav att företaget samarbetade med partner för att nå flera delar av USA:s regering, däribland White House’s Super Intelligence Force, Office of the National Cyber Director och Cybersecurity and Infrastructure Security Agency, samt internationella partner, för att hjälpa kritiska organisationer att få tillgång till säkerhetsvägledning. Wiz uppgav att företaget före det offentliga offentliggörandet samarbetade med Google Cloud, Cloudflare, AWS, Microsoft, Automattic, Fastly, Akamai, Imperva, Vercel och andra för att ta fram vägledning till kunder, detekteringslösningar och färdiga skyddsåtgärder för organisationer som inte kan uppdatera omedelbart.

OpenAI publicerade också ett föreslaget ramverk i fem steg för att hantera kritiska sårbarheter i allmänt använda programvaror: verifiera och åtgärda sårbarheten i uppströmsprojektet, ge berörda organisationer tid att agera, samordna med myndighetspartner, förbereda uppdateringar för berörda produkter och publicera vägledning när en korrigering finns tillgänglig. Företaget bad säkerhetsbranschen om återkoppling på tillvägagångssättet.

PHP Foundation, som grundade ett Ecosystem Security Team i maj 2026 och anställde Alexandre Daubois i juli 2026 och Daniel Scherzer i september 2026, uppgav att teamet har publicerat 15 CVE:er sedan den 1 juli 2026, samtidigt som det har hanterat över 100 rapporter som visat sig vara ogiltiga, dubbletter eller omöjliga att återskapa. Stiftelsen vädjade om sponsring från företag, webbhotell, molnplattformar, distributioner och regeringar vars tjänster körs på PHP.