Projekt PHP opublikował poprawki do dwóch krytycznych luk

21 października 2026 r. projekt PHP opublikował poprawki do dwóch krytycznych luk: CVE-2026-109618 i CVE-2026-109619. OpenAI opisało skoordynowaną reakcję w ramach istniejącej inicjatywy Patch the Planet. PHP uznaje aktualizację do poprawionej wersji za jedyny pełny sposób usunięcia tych luk.

Na czym polegały luki i jakie konfiguracje obejmowały?

CVE-2026-109618 dotyczyło błędu obsługi pamięci po jej wyczerpaniu. Pozostawiał on częściowo zainicjalizowane dane żądania, które procedura porządkowa mogła potraktować jako kompletne. CVE-2026-109619 wiązało się z użyciem nieaktualnego stanu wewnętrznego po zwolnieniu pamięci, gdy korzystało z niego kolejne żądanie.

W zależności od luki i konfiguracji możliwe skutki obejmowały zdalne wykonanie kodu bez uwierzytelnienia oraz ujawnienie pamięci procesu. Google Cloud podało bazową ocenę 9,2 w systemie CVSS v4.0 dla każdej z podatności.

PHP wskazało, że ryzyko dotyczy instalacji obsługujących strony WWW z PHP-FPM, Apache mod_php, php-cgi, FrankenPHP i LiteSpeed. Najwyższe ryzyko przypisało konfiguracji mod_php; jeden z opisanych sposobów ataku działał przed uruchomieniem kodu aplikacji. OpenAI i Wiz szacowały, że PHP działa na około 70 proc. witryn. Ten szacunek dotyczy użycia PHP, a nie udziału podatnych lub przejętych serwisów.

Które wersje PHP zawierają poprawki?

Projekt PHP opublikował cztery wydania usuwające obie luki. Właściwą wersję należy dobrać do używanej gałęzi.

PHP podaje, że PHP 8.1 i starsze nie otrzymują już regularnych aktualizacji bezpieczeństwa od projektu. Przygotowało minimalne poprawki źródłowe dla wersji 7.4, 8.0 i 8.1, a dystrybucje oraz dostawcy wsparcia długoterminowego mogą udostępniać własne pakiety. W przypadku starszej instalacji administrator powinien sprawdzić poprawione wydanie i zakres wsparcia u swojego dostawcy. Reguły zapory aplikacyjnej WAF oraz zmiany konfiguracji mogą ograniczyć ekspozycję, ale nie zastępują aktualizacji.

Szczegóły wydań i zaleceń PHP publikuje w oficjalnym archiwum projektu.

Jaką rolę odegrali badacze i AI?

OpenAI przypisało Calif wykrycie krytycznej luki z pomocą GPT-5.6 Sol. Calif opisuje pracę Ryana Austina jako analizę prowadzoną przez badacza z wykorzystaniem modelu językowego, wspartą jego doświadczeniem i znajomością historii podatności PHP.

Calif datuje odkrycie kilku ścieżek zdalnego wykonania kodu na 1 sierpnia 2026 r., a zgłoszenie pierwszego błędu projektowi PHP na 11 sierpnia. Wiz podaje, że niezależnie wykryło podatność 19 sierpnia, a problemy zgłosiło PHP 24 sierpnia. PHP Foundation informuje, że OpenAI osobno zgłosiło tę samą przyczynę źródłową, a 18 września przekazało kolejne ścieżki ataku. Chronologia wskazuje na udział badaczy i kilku zespołów, a nie na samodzielne działanie modelu.

Co oznaczała próba wykryta przed ujawnieniem?

Amazon poinformował, że 17 października jego honeypot MadPot zarejestrował próbę wykorzystania PHP2Shell, zanim luki ujawniono publicznie. Honeypot to system-pułapka używany do obserwowania ataków. Amazon nie ustalił, skąd sprawca znał informacje o luce ani czy próba powiodłaby się na rzeczywistym serwerze.

W komunikacie z 21 października OpenAI przedstawiło również pięcioetapowy model przyszłej koordynacji ujawniania podatności.