В PHP устранили критические уязвимости, найденные ИИ-моделями

Исследователи Wiz Research, OpenAI Codex Security и Calif в рамках инициативы Patch the Planet нашли в ядре PHP две критические уязвимости памяти (CVE-2026-109618 и CVE-2026-109619, CVSS 9.2), позволяющие неаутентифицированному атакующему выполнить удалённый код или прочитать память процесса, а 21 октября команда PHP выпустила экстренные обновления 8.5.12, 8.4.27, 8.3.36 и 8.2.35.

Автор Sergey KostenchukОпубликовано 2026-10-22Обновлено 2026-10-22

2026-10-22 Безопасность и регулирование OpenAI

🛡 В PHP устранили критические уязвимости, найденные ИИ-моделями

Wiz Research, OpenAI Codex Security и Calif нашли в ядре PHP две критические уязвимости памяти (CVE-2026-109618 и -109619, CVSS 9.2): неаутентифицированный RCE или чтение памяти процесса. Баги существовали с PHP 5.4 и затрагивают около 70% сайтов, включая WordPress, Drupal и Joomla. Экстренные обновления 8.5.12, 8.4.27, 8.3.36 и 8.2.35 вышли 21 октября.

🌍 Первый крупный прецедент: ИИ-модели Gemini 4 и GPT-5.6-Sol с экспертами нашли дыру старше десяти лет в самом распространённом серверном языке; схема Patch the Planet может стать типовой для раскрытия ИИ-находок в open-source.

👤 Администраторам и разработчикам PHP: немедленно обновитесь до 8.5.12, 8.4.27, 8.3.36 или 8.2.35 и перезапустите воркеры. Проверить версии помогает php2shell-checker от OpenAI на GitHub.

Источник 1: https://www.php.net/archive/2026.php#2026-10-21-5 Источник 2: https://php2shell.com/

Источники