В PHP обнаружены две критические уязвимости, способные позволить злоумышленникам выполнять код на сервере без авторизации. Обе получили оценку опасности 9,2 по шкале CVSS.

Разработчики языка выпустили исправления 21 октября и призвали администраторов незамедлительно обновить системы: временные защитные меры могут снизить риск, но не устраняют проблему полностью.

Ошибки связаны с управлением памятью. Уязвимость CVE-2026-109618 возникает, когда нехватка памяти прерывает инициализацию внутренних структур PHP, а при завершении запроса некорректные данные обрабатываются как действительные.

В случае CVE-2026-109619 внутреннее состояние запроса сохраняется после освобождения связанной с ним памяти, и следующий запрос может обратиться к уже недействительным данным.

Под угрозой находятся различные конфигурации обработки веб-запросов, включая PHP-FPM и Apache с модулем mod_php. Для последнего разработчики отмечают наиболее высокий риск: продемонстрирована атака, срабатывающая еще до запуска кода приложения.

Особое внимание к этой истории привлекла роль искусственного интеллекта. По сообщению OpenAI, компания Calif выявила критическую ошибку с помощью GPT-5.6 Sol в рамках инициативы Patch the Planet.

Исследователи Wiz независимо обнаружили и сообщили об обеих уязвимостях. Подготовкой исправлений руководили разработчики PHP, а OpenAI, Wiz, Cloudflare и другие участники помогали с исследованиями, технической поддержкой и координацией раскрытия информации.

Исправления доступны в версиях PHP 8.5.12, 8.4.27, 8.3.36 и 8.2.35. При этом ситуация со старыми ветками несколько сложнее, чем утверждается в исходном материале.

Согласно официальному уведомлению PHP, версии 8.1 и ниже действительно больше не получают регулярных обновлений проекта, однако отдельные поставщики могут предоставлять перенесенные исправления. Кроме того, команда безопасности подготовила минимальные исправления исходного кода для веток 7.4, 8.0 и 8.1.

Этот случай показывает двойственную роль ИИ в кибербезопасности. Он помогает защитникам выявлять сложные ошибки и готовить обновления до появления атак, но те же возможности могут ускорить разработку средств эксплуатации.

OpenAI ожидает резкого увеличения числа подобных находок в ближайшие месяцы. Поэтому главным испытанием становится не только поиск уязвимостей, но и способность разработчиков, поставщиков инфраструктуры и владельцев сайтов вовремя превращать результаты исследований в реально работающую защиту.