Исправления вошли в версии PHP 8.5.12, 8.4.27, 8.3.36 и 8.2.35. Они устраняют две ошибки, связанные с безопасностью памяти, зарегистрированные как CVE-2026-109618 и CVE-2026-109619. Каждая получила оценку 9,2 по шкале CVSS v4, сообщила PHP в своём уведомлении. Проект назвал обновление «единственным безопасным выбором». В уведомлении также сказано, что наибольшему риску подвержены сайты, работающие на Apache с mod_php: там неаутентифицированный запрос может вызвать уязвимость ещё до запуска кода приложения.
Релиз примечателен тем, как были обнаружены уязвимости. Компания по кибербезопасности Calif выявила первую из них в августе при содействии модели OpenAI GPT-5.6 Sol. Это произошло во время аудита исходного кода PHP, который OpenAI профинансировала в рамках инициативы Patch the Planet. Команда Wiz от Google заявила, что независимо обнаружила уязвимости несколько недель спустя. Она использовала Wiz Atlas, Gemini 4 Argon от Google и GPT-5.6 Sol. В уведомлении PHP перечислены исследователи из Calif, Wiz и OpenAI.
Компании расходятся во мнениях о значении этой находки
OpenAI представила эту находку как доказательство того, что ИИ способен выявлять уязвимости, затрагивающие весь интернет, раньше преступников. Компания называет это «окном возможностей для защитников».
«Учитывая серьёзность этих уязвимостей и широкое распространение PHP, мы считаем эту проблему одной из самых значимых в сфере безопасности за последнее время», — написала OpenAI.
Компания выделила 1 млрд долларов на субсидированный доступ к своей киберпрограмме Daybreak для защитников с ограниченными ресурсами. Calif высказалась более сдержанно. В своём отчёте компания сообщила, что использовала только общедоступные модели и не применяла специальных инструментов. По её словам, знание истории PHP оказалось важнее самой модели.
«Ни одна модель не способна просто обнаружить „все уязвимости“ с помощью простых запросов. По крайней мере, пока», — написала компания.
Модели OpenAI помогли исследователям обнаружить критические уязвимости в системе безопасности PHP.
OpenAI (@OpenAI) 21 октября 2026 года
До выхода патча сайты отключались
Правительства и компании не стали ждать. Киберагентство ЕС CERT-EU и британский NCSC посоветовали организациям отключить системы, если их нельзя сразу обновить. Агентство национальной безопасности США выпустило собственное предупреждение. Сервис закладок Pinboard, форум GrapheneOS и инструмент для стриминга OBS отключили часть своих сайтов. Laravel приостановила развёртывание Cloud, пока пересобирала системы на образах с патчами.
Релиз состоялся раньше намеченного срока. PHP планировала выпустить его в 14:00 UTC, а снять более широкое эмбарго — на следующий день. Компания ускорила выпуск после того, как подробности утекли в публикацию на Hacker News, сообщила Wall Street Journal. Компания по кибербезопасности watchTowr подтвердила реальность уязвимостей ещё до появления патча. Затем в интернете распространился эксплойт, подтверждающий возможность их использования.
Волкер Душ, инженер по безопасности некоммерческого фонда PHP Foundation, рассказал Wall Street Journal, что это самая серьёзная проблема, с которой PHP сталкивалась более десяти лет. Он сравнил её с Heartbleed — уязвимостью 2014 года, из-за которой по всему миру началась гонка за установку патчей. Wiz сопоставила эти уязвимости и с Heartbleed, и с Log4Shell. По оценке компании, PHP используется примерно на 70% всех сайтов.
Уязвимость затрагивает более чем десятилетнюю историю релизов
PHP не назвала самую старую затронутую версию. Однако Calif, Wiz и Cloudflare считают, что проблема касается PHP 5.4 и более поздних версий, выпущенных за последние десять с лишним лет. Из-за серьёзности ситуации команда PHP подготовила исправления для веток 7.4, 8.0 и 8.1, поддержка которых прекращена. Она предупредила, что никакое изменение конфигурации не заменит полноценное обновление. WordPress, работающая на PHP, призвала владельцев сайтов установить обновления и напомнила, что версии ниже 8.2 больше не получают исправлений безопасности.
Поставщики инфраструктуры приняли меры, чтобы сдержать атаки в период до выхода патчей. Cloudflare сообщила, что в 03:02 UTC включила правила межсетевого экрана веб-приложений для всех клиентов, в том числе пользователей бесплатных тарифов. По словам компании, это произошло примерно за девять часов до раскрытия информации. Она наблюдала, как злоумышленники меняли свои полезные нагрузки, подстраиваясь под новые правила по мере их появления.
Изменения в PHP вступили в силу. Начинайте устанавливать патчи. Огромное спасибо @ThePHPF за слаженную работу!
Дейн Кнехт (@dok2001) 21 октября 2026 года
Это уже второй случай за несколько месяцев, когда обнаруженные ИИ уязвимости веб-программного обеспечения привели к массовому обновлению систем. Уязвимости WordPress, которыми массово пользовались злоумышленники, появились в июле. OpenAI сообщила, что уязвимости PHP — лишь некоторые из уже выявленных ею серьёзных проблем. Компания ожидает, что в ближайшие месяцы «число подобных находок резко возрастёт». Пока же единственное исправление, которое рекомендует PHP, — установить обновление.
Опубликовано 21 октября 2026 - 08:25 Наверх
