OpenAI выявила критические уязвимости в PHP, призывает веб-операторов к немедленным обновлениям

21 октября 2026 года OpenAI объявила о выявлении двух критических уязвимостей в движке PHP, зарегистрированных как CVE-2026-109618 и CVE-2026-109619. Эти недостатки, получившие оценку CVSS 9.2, могут позволить злоумышленникам выполнять код удаленно на серверах без какой-либо аутентификации.

Уязвимости связаны с проблемами безопасности памяти в PHP, затрагивающими версии начиная с 5.4.0. Это означает, что значительное количество веб-сайтов, оцениваемое в 70%, может быть под угрозой, включая популярные платформы, такие как WordPress и Drupal. Эти недостатки позволяют несанкционированный доступ к конфиденциальным данным и потенциальное выполнение вредоносных команд.

OpenAI сотрудничала с исследователями из Calif и Wiz для выявления этих уязвимостей, которые были независимо подтверждены на WordPress и Drupal в августе 2026 года. Эти результаты стали частью инициативы OpenAI «Patch the Planet», направленной на использование ИИ для выявления уязвимостей безопасности до того, как они смогут быть использованы.

В ответ на уязвимости, поддерживающие PHP выпустили патчи для версий 8.2.35, 8.3.36, 8.4.27 и 8.5.12. Вместе с раскрытием информации OpenAI представила инструмент под названием php2shell-checker, который позволяет операторам сайтов оценить свою уязвимость без отправки трафика с эксплойтами.

Веб-операторам настоятельно рекомендуется проверить свои версии PHP и обновиться до исправленных релизов, чтобы избежать потенциальных инцидентов безопасности, которые могут подорвать доверие пользователей и привести к значительным финансовым потерям.