OpenAI proponuje pięć etapów reakcji na dwie luki w PHP

21 października 2026 r. OpenAI opisało koordynację działań wokół dwóch krytycznych luk w PHP i zaproponowało pięcioetapowy sposób reagowania na podobne problemy. Archiwum PHP wskazuje, że CVE-2026-109618 i CVE-2026-109619 naprawiają wydania 8.5.12, 8.4.27, 8.3.36 oraz 8.2.35. PHP podkreśla, że pełnym rozwiązaniem jest aktualizacja.

Co powodowały luki w PHP

Obie luki mogły umożliwić zdalne wykonanie kodu, czyli uruchomienie poleceń na serwerze, bez uwierzytelnienia. PHP wymienia jako narażone instalacje obsługujące żądania internetowe, w tym PHP-FPM, Apache z mod_php, php-cgi, FrankenPHP i LiteSpeed. Spośród tych konfiguracji PHP ocenia ryzyko jako najwyższe w przypadku mod_php.

CVE-2026-109618 dotyczy błędu przy obsłudze braku pamięci. Przerwanie żądania może nastąpić, gdy jego wewnętrzne dane są tylko częściowo zainicjowane. Podczas późniejszego sprzątania PHP może potraktować nieprawidłowe dane jak poprawne.

CVE-2026-109619 wiąże się z nieaktualnym stanem globalnym. Wewnętrzny stan przypisany do żądania może pozostać po zwolnieniu pamięci. Kolejne żądanie obsługiwane przez ten sam proces roboczy może wykorzystać te dane, zanim zostaną ponownie zainicjowane.

Które wydania PHP zawierają poprawki

Szczegóły zawiera archiwum bezpieczeństwa PHP. Wcześniej opisaliśmy też wydania PHP usuwające obie luki.

Tymczasowe ustawienia mogą ograniczyć ekspozycję na określone ścieżki ataku, ale nie zapewniają bezpiecznej instalacji. PHP wskazuje aktualizację jako jedyne pełne rozwiązanie. W przypadku instalacji zarządzanych przez dystrybucję lub dostawcę hostingu trzeba uwzględnić udostępniony przez niego pakiet z poprawką.

PHP 8.1 i starsze nie otrzymują już aktualizacji bezpośrednio od projektu PHP. Niektóre dystrybucje i dostawcy długoterminowego wsparcia przygotowują backporty, czyli przenoszą poprawki do starszych gałęzi. PHP opublikowało także minimalne backporty kodu źródłowego dla wersji 7.4, 8.0 i 8.1.

Pięć etapów proponowanych przez OpenAI

W komunikacie datowanym na 21 października OpenAI przedstawiło pięć etapów koordynacji reakcji na krytyczne luki w szeroko używanym oprogramowaniu. To propozycja firmy:

1. Potwierdzić lukę i przygotować poprawkę w projekcie źródłowym. Opiekunowie projektu, badacze i partnerzy techniczni mają wspólnie ocenić problem, opracować poprawkę i sprawdzić ją także pod kątem prób obejścia.
2. Dać organizacjom czas na przygotowanie działań. Opiekunowie projektu ustalają, kogo zaangażować przed ujawnieniem problemu; dystrybutorzy i dostawcy usług mogą przygotować poprawki lub zabezpieczenia.
3. Koordynować działania z partnerami rządowymi. Ich rolą ma być wspieranie ochrony infrastruktury krytycznej i przekazywanie zaleceń odpowiedzialnym organizacjom.
4. Przygotować aktualizacje dla dotkniętych produktów. Dystrybutorzy, dostawcy usług i operatorzy mają przygotować wdrożenie poprawek oraz zająć się lukami w ich pokryciu.
5. Opublikować zalecenia i wspierać wdrażanie. Po udostępnieniu poprawki organizacje mają otrzymać wskazówki dotyczące aktualizacji, a wsparcie ma trwać podczas jej wdrażania.

OpenAI podało, że w przypadku PHP współpracowało z partnerami przy zaangażowaniu amerykańskich instytucji, w tym CISA, Biura Dyrektora ds. Cyberbezpieczeństwa Kraju oraz White House Superintelligence Force, a także partnerów międzynarodowych. Firma zaznaczyła, że opiekunowie projektu decydują, kogo włączyć do działań przed ujawnieniem luki. Według OpenAI terminy można ponownie ocenić, gdy pojawi się aktywne wykorzystanie luki, dojdzie do wycieku informacji, publiczna poprawka ujawni problem albo opóźnienie zwiększy ryzyko dla użytkowników.

Komu OpenAI przypisuje wykrycie luk

OpenAI twierdzi, że Calif wykrył jedną z luk z pomocą GPT-5.6 Sol, a Wiz niezależnie wykrył i zgłosił obie. Według firmy PHP odpowiadało za prowadzenie prac nad poprawkami i ich publikację; OpenAI, Wiz, Cloudflare i inni partnerzy wspierali badania, koordynację oraz przygotowanie zabezpieczeń.

OpenAI podało również, że zobowiązało się przeznaczyć 1 mld dolarów na subsydiowanie dostępu do Daybreak w ramach programu Daybreak for Frontline Defenders, skierowanego do organizacji chroniących kluczowe usługi i mających ograniczone zasoby bezpieczeństwa.