Исследователи безопасности объявили об обнаружении двух критических уязвимостей в движке языка программирования PHP, который, по данным исследовательской компании Wiz, составляет основу около 70% веб-сайтов по всему миру. Уязвимости были зарегистрированы под идентификаторами CVE-2026-109618 и CVE-2026-109619 и получили общее название PHP2Shell, причем их оценка опасности составила 9.2 по шкале CVSS v4.0.
Компания Calif.io смогла обнаружить одну из уязвимостей с помощью модели GPT-5.6 Sol от OpenAI, в то время как компания Wiz независимо обнаружила обе уязвимости с помощью инструмента Wiz Atlas в сотрудничестве с моделью Gemini 4 Argon от Google и моделью GPT-5.6 Sol. Отчеты Cloudflare также указали на участие других структур безопасности, таких как Quarkslab, в обнаружении этих программных дефектов, которые существовали более целого десятилетия в различных версиях PHP.
Скрытые уязвимости безопасности, существовавшие целое десятилетие
Корни проблемы кроются в механизме обработки ошибок движком PHP: когда запрос программы дает сбой или у него заканчивается доступная память, движок может оставить после себя ссылки на память, которая была освобождена ранее (Use-After-Free). Следующий запрос, обрабатываемый тем же рабочим процессом, может рассматривать эти ссылки как действительные.
Исследования доказали, что злоумышленники могут использовать это поведение наряду с дефектами смешивания типов для доступа к конфиденциальным данным или удаленного выполнения вредоносного кода на таких популярных платформах, как WordPress, Drupal и Joomla, без необходимости входа в систему. Исследователи подтвердили, что некоторые уязвимые коды относятся к версии PHP 5.4, и эти дефекты оставались скрытыми все эти годы из-за сложности объединения нескольких уязвимостей вместе для создания успешной атаки, что стало решающей ролью, которую сыграл искусственный интеллект в ускорении процесса обнаружения всего за считанные дни.
Оперативность реагирования и выпуск исправлений
Процесс устранения начался после того, как Wiz обнаружила первую уязвимость 19 августа и подтвердила возможность выполнения кода на Drupal, а затем на WordPress в последующие дни. Команда безопасности PHP была официально уведомлена 24 августа, а патч-версии были выпущены 21 октября после интенсивной координации, в которой приняли участие такие крупные компании, как Cloudflare, Google Cloud, AWS, Microsoft и Akamai.
Что меняется на практике для разработчиков и системных администраторов?
PHP выпустила безопасные версии, на которые команды разработчиков и системные администраторы должны немедленно обновить свои серверы: PHP 8.5.12, 8.4.27, 8.3.36 и 8.2.35. В случае использования дистрибутивов Linux или управляемых хостинг-провайдеров рекомендуется обратиться к поставщикам для проверки применения обратных портирований (Backporting).
Кроме того, OpenAI предложила упреждающую структуру из пяти этапов для работы с уязвимостями, обнаруживаемыми искусственным интеллектом, которая включает в себя верификацию, расширенное тестирование с помощью моделей, поэтапное распространение данных среди дистрибьюторов и поставщиков услуг вплоть до правительственных агентств и критической инфраструктуры. Компания также предоставила инструмент для локальной проверки версий PHP на наличие уязвимых сборок, предупредив при этом, что средства защиты, такие как брандмауэры веб-приложений (WAF), представляют собой лишь временный уровень защиты и никоим образом не заменяют фактическое обновление исходного кода на серверах.