PHP закриває дві критичні вади
21 жовтня 2026 року проєкт PHP випустив версії 8.5.12, 8.4.27, 8.3.36 і 8.2.35, що закривають дві критичні вразливості, CVE-2026-109618 і CVE-2026-109619, обидві з оцінкою 9,2 за CVSS 4.0: вони дозволяють неавтентифікованому нападникові виконати код на сервері. Того ж дня OpenAI опублікувала власний опис двомісячної відповіді коаліції в межах ініціативи Patch the Planet, де, за її словами, охоронна фірма Calif знайшла ваду за допомогою GPT-5.6 Sol, і пообіцяла захисникам 1 мільярд доларів субсидованого доступу до Daybreak.
Чому це важливо
Випадок можна звірити з власним описом супровідників, а не лише з лабораторією. PHP Foundation пише, що слабкість з обробкою браку пам'яті вперше помітив аудит 2024 року, але виправлення місяцями стояло через компроміси, доки звіти Calif (11 серпня), Wiz (24 серпня) і OpenAI не показали повного впливу; вона також називає ШІ-інструменти, якими тепер перевіряє звіти. OpenAI називає ці вади однією з найвпливовіших проблем безпеки за останній час і пропонує п'ятиетапну схему реагування на такі знахідки; ця рамка — її власна. Сінгапурське агентство кібербезпеки до 23 жовтня повідомляло про масові спроби експлуатації.
Випуск. Оголошення php.net від 21 жовтня каже, що обидві вади можуть дати неавтентифіковане віддалене виконання коду, що під загрозою всі встановлення PHP, які обслуговують вебзапити (найбільше — Apache з mod_php, де показаний експлойт не потребує жодного коду застосунку), і що повних способів пом'якшення нема: безпечне лише оновлення. CVE-2026-109618 — вада обробки браку пам'яті, що лишає частково ініціалізовані дані запиту (GHSA-w8hw-w9fx-j79w); CVE-2026-109619 — застарілий стан запиту, що переживає звільнення своєї пам'яті (GHSA-6wmf-4rv5-p3rp). Агентство кібербезпеки Сінгапуру (сповіщення AL-2026-151, 21 жовтня, оновлено 23 жовтня) називає пару PHP2Shell і пише, що вразливі всі версії PHP. Як знайшли, за PHP Foundation (допис 21 жовтня). Перший за роки зовнішній аудит PHP 2024 року (Quarkslab, кошти Sovereign Tech Agency) дав перші ознаки проблеми з пам'яттю; підходи до виправлення застрягли на компромісах із сумісністю й відмовою в обслуговуванні, і Foundation називає затримку «структурною невдачею». Calif почала аудит у межах Patch the Planet 30 липня; 11 серпня повідомила про безумовне віддалене виконання коду з тією ж першопричиною; Wiz 24 серпня повідомила про подальші вектори; OpenAI незалежно повідомила ту саму першопричину, а 18 вересня — подальші вектори. Foundation пише, що для перевірки звітів і експлойтів користується Daybreak Red від OpenAI, а раніше — Claude Mythos від Anthropic. Розкриття. Ідентифікатори CVE витекли 20 жовтня близько 15:00 UTC разом з хибною оцінкою CVSS 10,0; випуск перенесено з 22 жовтня на 21 жовтня, 14:00 UTC; Calif помилково опублікувала відео з доказом концепції; Chainguard виклала виправлені образи до випуску, що Foundation називає порушенням ембарго. Допис OpenAI (21 жовтня). OpenAI пише, що протягом двох місяців очолювала коаліцію, що Calif знайшла критичну ваду за допомогою GPT-5.6 Sol, а Wiz незалежно повідомила про обидві, що ділиться перевіркою версій PHP як навичкою Codex і що виділила 1 мільярд доларів субсидованого доступу до Daybreak через «Daybreak for Frontline Defenders». Вона пропонує п'ять етапів: перевірити й виправити в першоджерелі; дати постраждалим час; координувати з урядовими партнерами (допис називає «Super Intelligence Force» Білого дому, ONCD і CISA); підготувати оновлення в продуктах; опублікувати рекомендації. «Наскільки нам відомо, ШІ на передовій знайшов ці вразливості раніше за нападників» — твердження OpenAI. Чого запис не стверджує. Допис OpenAI не дає ні номера CVE, ні версій, ні дня випуску; Foundation не каже, якою моделлю користувалась Calif. Хто знайшов першим і яка частка ШІ — зі слів сторін. Мільярд доларів OpenAI — зобов'язання, а не підтверджена витрата.