OpenAI выявила критические уязвимости в PHP, призывает веб-операторов к немедленным обновлениям

21 октября 2026 года OpenAI объявила о выявлении двух критических уязвимостей в движке PHP, зарегистрированных как CVE-2026-109618 и CVE-2026-109619. Эти недостатки, получившие оценку CVSS 9.2, могут позволить злоумышленникам выполнять код удаленно на серверах без какой-либо аутентификации.

Уязвимости связаны с проблемами безопасности памяти в PHP, затрагивающими версии начиная с 5.4.0. Это означает, что значительное количество веб-сайтов, оцениваемое в 70%, может быть под угрозой, включая популярные платформы, такие как WordPress и Drupal. Эти недостатки позволяют несанкционированный доступ к конфиденциальным данным и потенциальное выполнение вредоносных команд.

OpenAI сотрудничала с исследователями из Calif и Wiz для выявления этих уязвимостей, которые были независимо подтверждены на WordPress и Drupal в августе 2026 года. Эти результаты стали частью инициативы OpenAI «Patch the Planet», направленной на использование ИИ для выявления уязвимостей безопасности до того, как они смогут быть использованы.

В ответ на уязвимости, поддерживающие PHP выпустили патчи для версий 8.2.35, 8.3.36, 8.4.27 и 8.5.12. Вместе с раскрытием информации OpenAI представила инструмент под названием php2shell-checker, который позволяет операторам сайтов оценить свою уязвимость без отправки трафика с эксплойтами.

Веб-операторам настоятельно рекомендуется проверить свои версии PHP и обновиться до исправленных релизов, чтобы избежать потенциальных инцидентов безопасности, которые могут подорвать доверие пользователей и привести к значительным финансовым потерям.

Новые факты о уязвимостях PHP

21 октября PHP выпустил экстренные исправления для двух критических уязвимостей, идентифицированных как CVE-2026-109618 и CVE-2026-109619. Эти уязвимости позволяют неаутентифицированным злоумышленникам выполнять код на веб-серверах.

В своем уведомлении о безопасности команда PHP подчеркнула срочность этих обновлений, после предупреждения, выданного 20 октября. Обе уязвимости получили критический балл по шкале CVSS v4.0, что побудило руководителей в области криптозащиты призвать веб-операторов обновить свои системы и пересмотреть любую упущенную инфраструктуру.

Новые факты о уязвимостях PHP

• Критическая ошибка PHP, PHP2Shell, позволяет неаутентифицированным злоумышленникам удаленно выполнять код на веб-серверах.
• Эта уязвимость затрагивает примерно 70% веб-сайтов мира.
• Экстренные исправления были выпущены для версий PHP 8.2 и новее, но более одной трети сайтов на PHP остаются без патчей.
• Более 800,000 интернет-хостов используют устаревшие версии PHP, которые не получат никаких исправлений.
• Уязвимости идентифицированы как CVE-2026-109618 и CVE-2026-109619.
• Cloudflare внедрил экстренные меры и объявил о дополнительных патчах в ответ на уязвимости.
• Страны, такие как Финляндия и Нидерланды, отключили государственные веб-сайты в качестве меры предосторожности против потенциальных атак.
• Исправленные версии PHP включают 8.5.12, 8.4.27, 8.3.36 и 8.2.35, однако 27% сайтов на PHP все еще работают на PHP 7 и 7.7% на PHP 5, которые не имеют патчей.