OpenAI beschreef op 21 oktober 2026 de gecoördineerde aanpak van twee kritieke PHP-kwetsbaarheden en stelde een vijfstappenmodel voor toekomstige reacties voor. Het officiële PHP-archief noemt de twee CVE’s en de gerepareerde releases: PHP 8.5.12, 8.4.27, 8.3.36 en 8.2.35.
Wat de twee PHP-kwetsbaarheden doen
PHP identificeerde CVE-2026-109618 en CVE-2026-109619 als fouten waarmee een aanvaller zonder authenticatie op afstand code kan laten uitvoeren. De fouten hebben verschillende oorzaken.
Bij CVE-2026-109618 kan een geheugentekort een verzoek onderbreken terwijl interne gegevens nog niet volledig zijn geïnitialiseerd. Tijdens het opruimen kan PHP die ongeldige gegevens vervolgens als geldig behandelen. CVE-2026-109619 betreft interne status van een verzoek die toegankelijk blijft nadat het bijbehorende geheugen is vrijgegeven. Een later verzoek op dezelfde worker kan die verouderde status gebruiken voordat de normale initialisatie deze reset.
PHP waarschuwde dat alle installaties die webverzoeken verwerken potentieel risico liepen. Het noemde PHP-FPM, Apache met mod_php, php-cgi, FrankenPHP en LiteSpeed als voorbeelden. Van de genoemde configuraties noemde PHP Apache met mod_php het hoogste risico.
Welke PHP-versies de fouten verhelpen
PHP publiceerde de beveiligingsreleases op 21 oktober 2026. De juiste versie hangt af van de PHP-tak op de server.
| PHP-tak | Gerepareerde versie |
| PHP 8.5 | PHP 8.5.12 |
| PHP 8.4 | PHP 8.4.27 |
| PHP 8.3 | PHP 8.3.36 |
| PHP 8.2 | PHP 8.2.35 |
De releases staan ook in NeoTeo’s eerdere overzicht van de PHP-fixes. Voor PHP 8.1 en oudere takken publiceerde het PHP-project geen reguliere fixes meer. PHP vermeldde minimale broncodebackports voor PHP 7.4, 8.0 en 8.1; distributies en langetermijnondersteuningsleveranciers kunnen ook eigen backports leveren. Welke pakketfix beschikbaar is, hangt af van de leverancier.
PHP beschreef tijdelijke configuratiemaatregelen die de blootstelling aan specifieke aanvalspaden verminderen. Die maken een installatie volgens PHP niet veilig. Bijwerken naar een gerepareerde release is de enige volledige oplossing.
De vijf stappen in OpenAI’s voorstel
OpenAI stelde een aanpak voor kritieke kwetsbaarheden in veelgebruikte software voor. De vijf stappen zijn:
- De kwetsbaarheid in het bronproject valideren, een reparatie maken en die ook op aanvallen testen.
- Getroffen organisaties tijd geven om zich voor te bereiden.
- Met overheidspartners coördineren om kritieke systemen te helpen beschermen.
- Updates voorbereiden voor de getroffen producten en diensten.
- Adviezen publiceren en ondersteuning bieden bij de uitvoering.
Volgens OpenAI bepalen de projectmaintainers wie vóór de bekendmaking wordt betrokken. Zij kunnen de planning opnieuw beoordelen als er actieve aanvallen zijn, details uitlekken, een openbare patch de kwetsbaarheid onthult of uitstel het risico voor gebruikers vergroot. OpenAI zei voor de PHP-respons onder meer met CISA, het Office of the National Cyber Director en de White House Superintelligence Force te hebben samengewerkt, naast internationale partners.
Aan wie OpenAI de ontdekkingen toeschrijft
OpenAI schreef de vondst van één kwetsbaarheid toe aan Calif, dat daarvoor GPT-5.6 Sol gebruikte. Volgens OpenAI ontdekte en meldde Wiz beide kwetsbaarheden onafhankelijk. OpenAI zei ook dat PHP-maintainers de reparaties en publicatie leidden; OpenAI en partners, waaronder Wiz en Cloudflare, droegen bij aan onderzoek, technische ondersteuning en coördinatie.
Daarnaast zei OpenAI 1 miljard dollar te hebben toegezegd om toegang tot Daybreak te subsidiëren via Daybreak for Frontline Defenders. Het programma richt zich op organisaties die essentiële diensten beschermen en beperkte middelen voor beveiliging hebben.
