Как сообщает Pivot, 21 октября 2026 года команда PHP выпустила исправления для уязвимостей CVE-2026-109618 и CVE-2026-109619. Их эксплуатация потенциально позволяет злоумышленнику удалённо выполнить произвольный код на сервере — то есть запустить свои команды, — причём в ряде случаев без предварительной аутентификации. В зависимости от настроек сервера под угрозой могут оказаться приложения, данные и подключённая инфраструктура.
Подразделение Unit 42 компании Palo Alto Networks отнесло обе уязвимости к критическим, оценив их в 9,2 балла по шкале CVSS 4.0 (общепринятая система оценки опасности уязвимостей). Агентство национальной безопасности США (АНБ) призвало пользователей PHP подготовиться к установке патчей, а если обновить систему сразу невозможно — временно вывести её из эксплуатации до полного устранения проблемы. Похожие рекомендации дали европейские структуры ENISA, Европейская комиссия и CERT-EU, а также киберцентр Канады, особо отметивший серверы и приложения, доступные из интернета.
Координированная работа над уязвимостями шла два месяца при участии сопровождающих PHP, исследователей безопасности и провайдеров инфраструктуры, включая Wiz и Cloudflare. Как сообщила OpenAI, одну из ошибок выявил её проект Calif с помощью модели GPT-5.6 Sol, а обе уязвимости независимо обнаружила и передала разработчикам компания Wiz. По словам OpenAI, это часть её инициативы Patch the Planet по поиску и ответственному раскрытию уязвимостей в широко используемом ПО.
Патчи вошли в релизы PHP 8.5.12, 8.4.27, 8.3.36 и 8.2.35. Организациям рекомендовано определить, какие версии PHP работают на их серверах, обновиться до соответствующего релиза и проверить, не содержат ли сторонние приложения, хостинги или контейнеры уязвимые компоненты — приоритет у систем, открытых в интернет. Для устаревших веток PHP, не получающих обновлений безопасности, наличие исправления стоит уточнить у вендора или хостинг-провайдера.
Само раскрытие уязвимостей не означает, что все сайты на PHP атакованы: реальный риск зависит от версии языка, настроек сервера и наличия обновлений. Вместе с тем кейс показывает растущую роль ИИ в кибербезопасности — технологии помогают защищающимся находить критические слабые места раньше злоумышленников, но одновременно повышают требования к скорости выпуска и установки патчей.