Кібербезпека
PHP виправляє два критичні недоліки, що дають змогу віддалено виконувати код і які виявили передові моделі ШІ
Додайте Unite.AI до бажаних джерел у Google
21 жовтня 2026 року проєкт PHP випустив версії PHP 8.5.12, 8.4.27, 8.3.36 і 8.2.35 — оновлення безпеки, які усувають дві критичні вразливості, що можуть дозволити неавтентифіковане віддалене виконання коду. Їх виявили за допомогою передових моделей ШІ. Скоординоване розкриття інформації охопило проєкт PHP, OpenAI, компанію з досліджень безпеки Calif і хмарну компанію з безпеки Wiz.
Випуски з виправленнями
У рекомендаціях із безпеки проєкту PHP зазначено, що чотири випуски усувають CVE-2026-109618, описану як віддалене виконання коду через пошкодження пам’яті внаслідок її вичерпання, і CVE-2026-109619, описану як віддалене виконання коду через застарілий глобальний стан. У попередньому повідомленні команди безпеки PHP від 20 жовтня 2026 року обом вразливостям присвоїли оцінку CVSS v4.0 9.2, а випуск запланували на 14:00 UTC 21 жовтня.
Усі інсталяції PHP, що обробляють вебзапити, перебувають під загрозою, зазначено в рекомендаціях. Це стосується PHP-FPM, Apache з mod_php, php-cgi, FrankenPHP і LiteSpeed. Найвищим ризик вважається для mod_php, де продемонстрований експлойт можна запустити неавтентифікованим запитом ще до виконання будь-якого коду застосунку.
У проєкті зазначають, що повного захисту від цих вразливостей немає і єдиний безпечний варіант — оновити систему, хоча також перелічують тимчасові налаштування, які зменшують ризик певних способів атаки. Дистрибутиви Linux і постачальники версій із довгостроковою підтримкою отримали виправлення завчасно. Команда безпеки PHP також підготувала мінімальні перенесені виправлення вихідного коду для PHP 7.4, 8.0 і 8.1, які більше не отримують оновлень, і нагадала, що підтримка PHP 8.2 завершиться 31 грудня 2026 року.
Вразливості та експлойт Php2shell
У технічному описі дослідників Wiz CVE-2026-109618 охоплює помилку use-after-free в десеріалізаторі обробки перебігу завантаження та розкриття пам’яті віддаленого процесу, а CVE-2026-109619 — помилку use-after-free у трасуванні стека після критичної помилки та плутанину типів в OPcache. Усі ці проблеми стосуються безпеки пам’яті й пов’язані з тим, як PHP обробляє критичні помилки, зокрема помилки через вичерпання пам’яті, під час обробки запитів.
Wiz повідомила, що вразливість є щонайменше в одній із вразливостей у кожній версії PHP, випущеній за останнє десятиліття, починаючи з версії 5.4. Calif зазначила, що найдавніший вразливий шлях, який їй вдалося виявити, з’явився в PHP 5.4.0, а можливість експлуатації виявлених шляхів, яка залежить від версії PHP і SAPI, зберігається за типових налаштувань.
Wiz об’єднала вразливості в один скрипт для експлуатації під назвою php2shell і продемонструвала неавтентифіковане віддалене виконання коду в найновіших контейнерних образах WordPress, Drupal і Joomla. Окремо компанія показала, що можна розкривати пам’ять робочих процесів PHP незалежно від застосунку; вона може містити паролі, токени автентифікації, ключі API та сертифікати. В описі Calif повідомляється про підтверджене віддалене виконання коду до автентифікації у WordPress 7.1.2, Drupal 11.4.3, Joomla 6.1.4, MediaWiki 1.46.2, Roundcube 1.7.4, Magento 2.4.9, phpMyAdmin 5.2.3, Nextcloud 35.0.1, Laravel 13.11, Symfony 8.1 і WHMCS, а також у довільних скриптах PHP у деяких випадках.
За даними Wiz, PHP використовують 70% усіх вебсайтів, зокрема WordPress, Joomla, Drupal і MediaWiki — рушій Вікіпедії. Компанія зарахувала виявлені проблеми до найсерйозніших уразливостей, знайдених у PHP.
Як передові моделі ШІ виявили вразливості
OpenAI повідомила, що протягом останніх двох місяців очолювала коаліцію розробників і супровідників, дослідників та постачальників засобів безпеки, яка працювала над усуненням вразливостей. У межах ініціативи OpenAI Patch the Planet компанія Calif за допомогою моделі GPT-5.6 Sol виявила критичну вразливість, а Wiz незалежно виявила й повідомила про обидві вразливості. Виправленнями та випуском оновлень керували супровідники PHP.
Хронології учасників свідчать, що незалежні відкриття відбувалися паралельно. За даними PHP Foundation, Calif розпочала аудит 30 липня 2026 року, а дослідник Calif Ryan A повідомив про безумовне віддалене виконання коду 11 серпня 2026 року; того самого дня OpenAI незалежно повідомила про ту саму першопричину. У викладі Calif зазначено, що вразливість виявили 1 серпня 2026 року, доказ концепції віддаленого виконання коду передали PHP 14 серпня 2026 року, PHP підтвердив її 15 серпня 2026 року, а про другу помилку повідомили 21 серпня 2026 року.
Wiz повідомила, що виявила першу вразливість 19 серпня 2026 року за допомогою Wiz Atlas, Gemini 4 Argon і GPT-5.6 Sol, підтвердила можливість виконання коду без автентифікації у Drupal 20 серпня 2026 року та у WordPress 21 серпня, а 24 серпня 2026 року повідомила про вразливості команду безпеки PHP. За даними PHP Foundation, 18 вересня 2026 року OpenAI додала інші вектори атаки, а за даними Wiz, 21 вересня 2026 року PHP підтвердив отримання повідомлень і розпочав розробку скоординованого виправлення.
Першопричина цієї вразливості має тривалу історію. Calif розповідає, що 2004 року Stefan Esser виявив першу віддалену вразливість PHP, пов’язану з лімітом пам’яті, що 2020 року проєкту повідомили про помилку, спричинену вичерпанням пам’яті, а під час аудиту OSTIF і Quarkslab у 2024 році проблему виявили повторно, але можливість її експлуатації не довели. PHP Foundation повідомила, що аудит 2024 року фінансувало Sovereign Tech Agency, а роботу над виправленням неодноразово призупиняли й поновлювали протягом кількох місяців: «Не будемо вдавати, що це не так: затримка стала наслідком системного збою».
OpenAI заявила, що з огляду на серйозність вразливостей і широке використання PHP вважає їх однією з найважливіших проблем безпеки за останній час. Компанія також зазначила, що, наскільки їй відомо, передові моделі ШІ виявили вразливості раніше за зловмисників, відкривши те, що вона називає «вікном для захисників». OpenAI зобов’язалася надати субсидований доступ до Daybreak на суму 1 млрд доларів для фахівців, які безпосередньо відповідають за захист, і опублікувала перевірку версій PHP як навичку Codex у репозиторії openai/php2shell-checker на GitHub.
Витік інформації про розкриття вразливостей і порушення ембарго
За даними PHP Foundation, координоване розкриття інформації залишалося під ембарго до двох днів перед запланованою датою випуску. Приблизно о 15:00 UTC 20 жовтня 2026 року на онлайн-форумах і в соціальних мережах почали поширюватися два ідентифікатори CVE із хибним часом випуску та неправильною оцінкою CVSS — 10,0, хоча технічні подробиці не витекли. Проєкт PHP переніс попереднє оголошення на 19:30 UTC того самого дня, а випуск — із 22 жовтня 2026 року на 21 жовтня 2026 року о 14:00 UTC, пояснивши, що дистриб’ютори ще готують виправлення до випуску.
Як повідомляє PHP Foundation, приблизно о 20:00 UTC 20 жовтня Calif помилково опублікував відео, на якому було видно, як його демонстраційний експлойт працює проти низки цілей. Копії відео поширювалися й сприяли прискореній розробці різних демонстраційних експлойтів 21 жовтня. За даними фонду, о 07:41 UTC 21 жовтня — більш ніж за шість годин до запланованого спільного випуску — Chainguard в односторонньому порядку порушила ембарго й опублікувала зібрані образи з виправленням. Команда безпеки PHP стежила за демонстраційними експлойтами, що з’явилися після витоку, але на момент випуску й публічного розкриття не виявила жодного працездатного експлойта.
Координація з урядом і запропонована система дій
OpenAI повідомила, що співпрацювала з партнерами, залучаючи різні структури уряду США, зокрема Сили суперінтелекту Білого дому, Офіс національного директора з кібербезпеки та Агентство з кібербезпеки й безпеки інфраструктури, а також міжнародних партнерів, щоб рекомендації з безпеки дійшли до критично важливих організацій. Wiz повідомила, що до публічного розкриття вразливості співпрацювала з Google Cloud, Cloudflare, AWS, Microsoft, Automattic, Fastly, Akamai, Imperva, Vercel та іншими компаніями, щоб підготувати рекомендації для клієнтів, засоби виявлення загроз і готові до використання заходи захисту для організацій, які не можуть негайно оновити програмне забезпечення.
OpenAI також опублікувала запропоновану п’ятиетапну систему реагування на критичні вразливості в програмному забезпеченні, яке широко використовують: перевірка й усунення вразливості в основному проєкті, надання постраждалим організаціям часу на реагування, координація з урядовими партнерами, підготовка оновлень для всіх уражених продуктів і публікація рекомендацій після виходу виправлення. Компанія попросила фахівців із безпеки поділитися відгуками щодо цього підходу.
PHP Foundation, яка створила Команду безпеки екосистеми в травні 2026 року та найняла Alexandre Daubois у липні 2026 року, а Daniel Scherzer — у вересні 2026 року, повідомила, що від 1 липня 2026 року команда опублікувала 15 CVE, опрацьовуючи водночас понад 100 повідомлень, які виявилися недійсними, дубльованими або такими, що їх не вдалося відтворити. Фонд закликав компанії, хостинг-провайдерів, хмарні платформи, дистрибутиви та уряди, чиї сервіси працюють на PHP, надавати фінансову підтримку.
