И снова... GPT-5.6 Sol нашла 2 критические уязвимости в PHP: вышли исправления

В PHP обнаружили две критические уязвимости, которые позволяют удалённо выполнить вредоносный код без авторизации. Исправления уже выпустили для PHP 8.5.12, 8.4.27, 8.3.36 и 8.2.35 — владельцам сайтов стоит проверить версию PHP и обновить её как можно скорее.

Уязвимости получили идентификаторы CVE-2026-109618 и CVE-2026-109619. По данным официальной команды PHP, под угрозой находятся веб-приложения, которые используют PHP-FPM, Apache с mod_php, php-cgi, FrankenPHP и LiteSpeed. Самый высокий риск зафиксирован для mod_php: для него уже продемонстрировали атаку, которая срабатывает до запуска кода самого приложения.

Почему это масштабная проблема

PHP остаётся самым распространённым серверным языком программирования в интернете. По данным W3Techs на 22 октября 2026 года, его используют 69,3% сайтов, для которых удалось определить серверную технологию. При этом один сайт может использовать сразу несколько языков.

Потенциально атака может привести к тому, что злоумышленники:

• выполнят произвольный код на сервере;
• получат доступ к конфиденциальным данным и паролям;
• изменят содержимое сайта;
• используют взломанный ресурс для атак на его посетителей.

Команда PHP назвала инцидент одним из самых серьёзных за последнее десятилетие. На фоне публикаций о проблеме правительства Финляндии и Нидерландов временно ограничили работу некоторых своих сайтов, а отдельные университеты в Германии и Австрии отключили веб-ресурсы. Ведомства Европы, Австралии, Японии и Великобритании рекомендовали владельцам сайтов обновить PHP или временно отключить уязвимые системы.

Cloudflare сообщила, что уже фиксирует попытки эксплуатации уязвимостей и включила защитные правила WAF для клиентов с бесплатным и платным файрволом. Это снижает риск для пользователей Cloudflare, но не заменяет обновление PHP.

Что делать владельцам сайтов

В первую очередь нужно:

1. Узнать установленную версию PHP.
2. Обновиться до PHP 8.5.12, 8.4.27, 8.3.36 или 8.2.35 — в зависимости от используемой ветки.
3. Проверить обновления у поставщика Linux-дистрибутива, хостинга или LTS-платформы.
4. Перезапустить PHP-FPM и другие процессы, чтобы исправления действительно начали работать.
5. Если обновление невозможно сразу, использовать временные меры из официального бюллетеня PHP, понимая, что они не делают систему полностью безопасной.

PHP 8.1 и более старые версии больше не поддерживаются самим проектом. При этом некоторые дистрибутивы и поставщики LTS могут выпускать собственные исправления. Команда PHP также подготовила минимальные бэкпорты для PHP 7.4, 8.0 и 8.1 для тех, кто собирает язык из исходников или не может получить обновление от поставщика. (api.vc.ru)

OpenAI опубликовала отдельный проверяющий инструмент, который помогает определить потенциально уязвимую версию PHP. Позже компания планирует выпустить навык для Codex, чтобы администраторы могли автоматизировать такую проверку.

Как уязвимости нашли с помощью ИИ

Первую проблему летом 2026 года обнаружил исследователь Райан Остин из компании Calif. Он анализировал исходный код PHP с помощью модели GPT-5.6 Sol. 11 августа Calif связалась с разработчиками PHP и сообщила об уязвимости до публичного раскрытия деталей.

Компания Wiz независимо обнаружила обе уязвимости в период с 19 по 21 августа. В исследовании использовались Gemini 4 Argon и GPT-5.6 Sol. 24 августа Wiz передала информацию команде безопасности PHP. По данным OpenAI, Calif работала в рамках инициативы Patch the Planet, а Wiz проводила исследование независимо.

С 21 сентября разработчики PHP занимались подготовкой исправлений вместе с исследователями и сторонними компаниями по кибербезопасности. За это время они написали более 10 тысяч строк кода.

Релиз патчей изначально планировали на 22 октября. Но 20 октября на Hacker News появилась публикация о готовящемся выпуске. После этого команда PHP решила ускориться и выпустила обновления 21 октября в 17:00 по московскому времени.

При чём здесь OpenAI

OpenAI заявила, что в сентябре и октябре помогала исследователям и разработчикам PHP в рамках программы Patch the Planet. Она предоставляет участникам доступ к своим моделям, техническую поддержку и ресурсы для поиска и устранения уязвимостей в широко используемом программном обеспечении.

В случае с PHP команда OpenAI и партнёры помогали тестировать исправления, готовить защитные меры для инфраструктурных провайдеров и координировать раскрытие информации. При этом финальные исправления выпустили именно сопровождающие PHP.

Компания также пообещала направить $1 млрд на субсидируемый доступ к инструментам Daybreak для организаций, которые защищают критически важные сервисы, но не располагают бюджетами крупных компаний. Программа рассчитана на государственные структуры, инфраструктурные организации, некоммерческие проекты и сопровождающих разработчиков открытого ПО.

Главный вывод для владельцев сайтов простой: наличие WAF или защитных правил CDN может выиграть время, но единственным полноценным решением остаётся установка исправленной версии PHP.