Исследователи Wiz Research, OpenAI Codex Security и Calif при участии ИИ-моделей Gemini 4 и GPT-5.6-Sol в рамках инициативы Patch the Planet обнаружили в ядре PHP две критические уязвимости памяти, позволяющие неаутентифицированному атакующему выполнить удалённый код или прочитать память процесса. Проблемы получили номера CVE-2026-109618 и CVE-2026-109619 и оценку CVSS 9.2, а существовали со времён PHP 5.4, затрагивая примерно 70% веб-сайтов, включая популярные CMS WordPress, Drupal и Joomla. Команда PHP выпустила экстренные патчи уже 21 октября 2026 года, а OpenAI опубликовала на GitHub бесплатный диагностический инструмент php2shell-checker для проверки версий PHP на серверах.

image
image

Что произошло

Команды Wiz Research, OpenAI Codex Security и Calif в рамках инициативы Patch the Planet идентифицировали в ядре PHP две уязвимости классов памяти и передали их команде языка по согласованной схеме раскрытия. По данным проекта PHP2Shell, обе проблемы позволяют неаутентифицированному атакующему удалённо выполнить произвольный код или прочитать память процесса, что делает особенно опасным любой публичный сервис на старой версии. Реакция PHP вышла аварийной: уже 21 октября 2026 года одновременно закрыты четыре поддерживаемые ветки — релизы 8.5.12, 8.4.27, 8.3.36 и 8.2.35, — а такой одновременный выпуск по всем линиям означает экстренный операционный цикл, а не плановое сопровождение. Вместе с патчами OpenAI опубликовала на GitHub диагностический инструмент php2shell-checker, который проверяет версии PHP в парке серверов и помогает найти машины с непропатченными сборками.

Контекст

PHP остаётся самым распространённым серверным языком: по данным источника, на нём работает около 70% веб-сайтов, включая массовые CMS WordPress, Drupal и Joomla, поэтому дефекты ядра затрагивают одновременно хостинги, корпоративные порталы и государственные сервисы. Обнаруженные ошибки жили в C-коде ядра со времён PHP 5.4, то есть более десяти лет, и прошли мимо классического фаззинга и регулярных ручных аудитов, в то время как описание «ошибки памяти в C-code ядра» как раз правдоподобно для сильного LLM-аудита, поскольку это знакомый моделям класс паттернов. Раскрытие оформлено через инициативу Patch the Planet, в которую входят Wiz, Calif, OpenAI, CISA и Белый дом, и такой согласованный выпуск — от доклада до готовых патчей — OpenAI предлагает закрепить как типовой регламент для будущих ИИ-обнаружений в open-source.

Почему это важно для индустрии

Для отрасли это первый крупный прецедент, когда ИИ-модели в связке с экспертными командами нашли в ядре самого распространённого серверного языка дефект, невидимый более десяти лет. Схема disclosure Patch the Planet с участием Wiz, Calif, OpenAI, CISA и Белого дома, как оценивает источник, может стать типовым регламентом для будущих ИИ-находок в open-source, и при масштабировании ожидается волна агентных аудитов зрелых кодовых баз. Для security-команд и вендоров открывается готовое продуктовое направление — интегрировать проверку php2shell-checker в панели управления, CI/CD и онбординг клиентов, добавив UX отслеживания «ИИ-находок в моём стеке», — а волна массовой проверки PHP уже приносит спрос на аудит версий. Стратегическая рамка при этом двойственная: если методология подтвердится, reasoning-модели станут штатным этапом security-аудита перед релизом и в ретроспективе legacy-кода, но тот же инструментарий достаётся атакующим, и асимметрия «нашли раньше — пропатчили раньше» превращается в конкурентную задачу, вплоть до появления «ИИ-аудитора безопасности» как стандартного слоя в поставке хостинга и CI/CD.

Почему это важно для пользователей

Если вы администрируете серверы или разрабатываете на PHP, работайте в режиме экстренного инцидента: обновите PHP до 8.5.12, 8.4.27, 8.3.36 или 8.2.35 в зависимости от используемой ветки и перезапустите все воркеры, чтобы патч применился к уже запущенным процессам. Затем прогоните по всему парку машин бесплатный php2shell-checker из репозитория openai на GitHub, чтобы выловить серверы, оставшиеся на старых версиях. Из-за неаутентифицированного характера атаки и публичности CVE при CVSS 9.2 эксплойт-окно открыто прямо сейчас, пока длинный хвост непропатченных серверов не обновился. Владельцам сайтов на WordPress, Drupal или Joomla достаточно проверить у хостера, какая версия PHP подключена к тарифу, и потребовать перехода на пропатченную ветку.

Что пока неизвестно / ограничения

Методология обнаружения не раскрыта: неизвестно, что именно делали модели — читали код, работали агентным пайплайном или совместно с фаззингом, какова доля ложных срабатываний и на каком этапе к поиску подключались люди из Wiz Research и Calif. Это единичный кейс, а не доказанное правило: выводы о том, что ИИ-поиск уязвимостей якобы «резко дешевеет и коммодитизируется», а преимущество ручной экспертизы security-лабораторий якобы размывается, из него не следуют, ведь в находке очевидно участвовали экспертные команды. Ключевая проверка впереди — независимые репликации на других кодовых базах: только они покажут, был ли PHP первым в очереди систематического тренда или случайной удачей. Наконец, цифра «около 70% веб-сайтов» — оценка источника, а не результат независимого аудита парка серверов, а срок появления рабочих эксплойтов после публикации патчей публично не назван, хотя из-за публичности CVE и неаутентифицированного вектора короткое окно вероятно.

Источники

Автор

Look at AI, редакция