10 октября PHP экстренно исправил две серьёзные уязвимости (оценка CVSS v4.0 — 9.2), которые позволяют удалённо выполнять код без аутентификации. Уязвимости должны были быть обнародованы 22 октября, но информация утекла раньше — уже 20 октября CVE‑номера уязвимостей распространялись на интернет‑форумах и в социальных сетях. При этом заявлялось, что их серьёзность — 10.0, хотя реальная оценка — 9.2.
Одно из первых публичных сообщений появилось на Hacker News. PHP официально перенёс дату выпуска обновления с 22 на 21 октября. Компания watchTowr подтвердила существование уязвимостей: исследовательская группа смогла воспроизвести одну из них, однако доказательств использования уязвимостей в реальных условиях тогда не было. Компания Calif ошибочно опубликовала видео с демонстрацией подтверждения атаки — часть деталей об атаках стала общедоступной.
Поставщик ПО Chainguard выпустил образ ПО с исправлениями более чем за шесть часов до согласованного времени. PHP Foundation сочла это рискованным: атакующие могли проанализировать различия и выявить способ эксплуатации уязвимости. PHP не выпустил исправление сразу после утечки информации, поскольку дистрибутивы Linux и другие поставщики ПО ещё готовили пакеты обновлений. Чтобы пользователи могли установить исправления, PHP решил перенести дату выпуска на день раньше.
Из‑за уязвимостей некоторые сайты временно приостановили часть услуг. 21 октября Reuters сообщил, что профилактически приостановили работу: порт Роттердама (Нидерланды), правительственный портал Overheid.nl, сайты футбольной ассоциации и больниц в Нидерландах, а также часть сайтов правительственных органов Германии, Франции, Бельгии и Финляндии; Wikimedia Foundation временно приостановила часть систем. Немецкое правительство заявило об отсутствии известных инцидентов ИБ, IT‑центр правительства Финляндии не выявил попыток эксплуатации уязвимости. Тайваньское агентство по кибербезопасности 22 октября выпустило предупреждение и призвало компании срочно установить исправления.
21 октября PHP выпустил исправленные версии: PHP 8.5.12, 8.4.27, 8.3.36, 8.2.35. SecurityWeek сообщил, что watchTowr и другие исследовательские организации обнаружили попытки эксплуатации уязвимости, но успешных проникновений не подтверждено. Cloudflare зафиксировала атакующий трафик на клиентов и развернула правила защиты WAF. Для повышения точности определения атак Cloudflare использует метод, сочетающий анализ запросов и ответов сервера.
Уязвимости CVE‑2026‑109618 и CVE‑2026‑109619 связаны с обработкой ситуаций нехватки памяти и сохранением состояния памяти после ошибок — это может позволить злоумышленникам удалённо выполнять код. Особенно высок риск в средах с Apache mod_php — атаки могут срабатывать до запуска веб‑приложения.
В 2024 году PHP прошёл внешний аудит безопасности от Quarkslab. При устранении обнаруженных проблем разработчики заметили аномалии в обработке нехватки памяти, но не смогли доказать возможность удалённого выполнения кода. PHP‑команда сталкивалась с трудностями при разработке исправлений: риски нарушения совместимости, новые риски простоя, необходимость модификации множества сторонних расширений. Нехватка экспертов и трудности в выборе направления исправления привели к задержкам — PHP Foundation назвала это «структурным провалом».
В августе 2024 года произошёл перелом: 11 августа компания Calif (участник плана OpenAI «Patch the Planet») сообщила об уязвимости удалённого выполнения кода, имеющей тот же корень, что и прежние проблемы с памятью. В тот же день OpenAI независимо сообщила о проблеме, а 24 августа Wiz сообщила о других путях атаки. PHP Foundation с 11 августа сделала патчи приоритетом для команд безопасности.
По исследованию Wiz Research от 21 октября, команда использовала инструмент Wiz Atlas, а также модели Google Gemini 4 Argon и OpenAI GPT-5.6 Sol для анализа ядра PHP, разработки методов атаки и проверки удалённого выполнения кода без аутентификации в средах WordPress, Drupal. AI-модели помогают исследователям анализировать причины неудач атак, корректировать методы использования уязвимостей, снижать сложность разработки атакующих программ для разных сред развёртывания. Wiz оценивает, что с помощью передовых AI-моделей и инструментов один исследователь за неделю может выполнить работу, на которую раньше команде исследователей требовалось несколько месяцев. Google Cloud отмечает, что Gemini 4 Argon не только помогает находить уязвимости и разрабатывать атаки, но и участвует в разработке методов обнаружения и проверке исправлений.
С 1 июля команда PHP Foundation опубликовала 15 CVE и обработала более 100 отчётов об уязвимостях (недействительных, повторяющихся или невоспроизводимых). Для PHP-проектов исследователи могут использовать AI для анализа кода, но проблемы безопасности должны подтверждаться ключевыми разработчиками, а при исправлении нужно учитывать совместимость с существующими системами. Предприятиям необходимо не только оперативно обновлять уязвимые версии PHP, но и пересматривать риски и приоритеты исправлений с учётом новых исследований и доказательств атак.
Американская армия планирует использовать ИИ для самостоятельного взлома сетей противника. Эксперты обеспокоены тем, что коммунальные службы и малые предприятия могут попасть в зону риска («радиус взрыва»). В США нехватка специалистов по кибербезопасности сократилась на 84 тыс. в год, при этом количество инженеров по кибербезопасности с использованием ИИ выросло на 268 %.
Подписаться в Макс
