ИИ помог найти опасные дыры в PHP. Исправления уже вышли

Сайт мог пустить незваного гостя

Команда PHP выпустила обновления безопасности 21 октября. PHP - язык, на котором работают сайты и веб-приложения. Две ошибки в нём, CVE-2026-109618 и CVE-2026-109619, могут позволить постороннему запустить свой код на сервере без авторизации.

Самый неприятный момент: для Apache с mod_php показана атака, которая срабатывает ещё до запуска кода самого сайта. То есть до той части, где разработчик вообще собирался проверить, кто к нему пришёл. Хороший пароль такую очередь событий не исправит.

По предупреждению разработчиков PHP, проверить обновления нужно всем, кто использует PHP для обработки веб-запросов. Среди перечисленных сред есть PHP-FPM, Apache с mod_php, php-cgi, FrankenPHP и LiteSpeed. Это не означает одинаковую готовую атаку для каждой конфигурации: наибольший риск команда выделяет у mod_php.

Где здесь нейросеть

Как рассказала OpenAI, исследователи Calif нашли одну критическую ошибку с помощью GPT-5.6 Sol в рамках инициативы Patch the Planet. Wiz независимо обнаружила и сообщила об обеих уязвимостях.

Исправления и выпуск вели сами разработчики PHP. OpenAI, Wiz, Cloudflare и другие участники помогали исследованием, проверкой и подготовкой защиты до публичного раскрытия. На эту координацию ушли последние два месяца.

К слову, здесь ИИ уже помогает искать ошибки в общем программном фундаменте, от которого зависят чужие сайты. Это куда полезнее очередного идеального ответа в демонстрации. Но найденная ошибка ещё не становится установленным обновлением: эту часть владельцам серверов придётся довести до конца.

Что обновлять

Исправления доступны в стабильных версиях:

• PHP 8.5.12;
• PHP 8.4.27;
• PHP 8.3.36;
• PHP 8.2.35.

Дистрибутивы Linux и поставщики долгосрочной поддержки получили патчи заранее. Поэтому сверяться нужно и с уведомлением своего поставщика: исправление может прийти в его пакете с другим номером версии.

PHP 8.1 и более старые ветки сам проект уже не поддерживает. Для них стоит проверить наличие исправления у поставщика либо перейти на поддерживаемую версию. Команда также подготовила минимальные исходные патчи для 7.4, 8.0 и 8.1, но это не возобновление их обычной поддержки.

Полной замены обновлению нет, прямо предупреждает PHP. Если сайт находится на чужом хостинге, сейчас хороший момент спросить поддержку, закрыты ли эти две уязвимости. Ответ "у нас всё работает" на этот вопрос, к сожалению, не отвечает.