Bezpečnostní firma Wiz Research odhalila 21. října 2026 sadu kritických zranitelností v jádru PHP motoru a varovala, že chyby – souhrnně nazývané PHP2Shell – umožňují neověřené vzdálené spuštění kódu a odhalení paměti ve stylu Heartbleed u softwaru, který pohání odhadem 70 procent všech webových stránek. Projekt PHP vydal záplaty ve stejný den a Wiz naléhá na okamžité aktualizace v obrovské instalované základně webu.
PHP je páteří velké části internetu: pohání WordPress, Joomla, Drupal a MediaWiki, software, který provozuje Wikipedii. Zásadní je, že nově odhalené chyby žijí v základním enginu PHP, nikoli v žádné aplikaci postavené na něm, což znamená, že stránky mohou být odhaleny, i když je jejich vlastní aplikační kód zabezpečený. For more context on this story, see our ongoing AI news.
Co jsou zranitelnosti
Podle technického zápisu Wiz od výzkumníků Sagi Tzadik, Shir Tamari, Nir Ohfeld a Tomer Schwartz jsou všechny odhalené chyby problémy s bezpečností paměti, které mají kořeny v tom, jak PHP zpracovává fatální chyby během zpracování požadavků – zejména chyby z nedostatku paměti. Zhroucený požadavek může zanechat poškozený vnitřní stav PHP a pozdější požadavek nebo pracovník, který znovu použije tento zastaralý stav, může vyvolat zpřístupnění paměti nebo poškození paměti.
Nálezy byly seskupeny do dvou CVE s maximální závažností CVSS 9,2:
- CVE-2026-109618 — unserializer postupu nahrávání a postupu použití-po-zdarma, který může útočník využít ke vzdálenému odhalení paměti procesu a v demonstrovaných řetězcích úplné vzdálené spuštění kódu. Wiz předvedl neověřené odhalení pracovní paměti PHP a RCE před autentizací na WordPress, Drupal a Joomla.
- CVE-2026-109619 – zpětné sledování fatálních chyb bez použití po použití v kombinaci se záměnou typu OPcache, které také prokázalo, že poskytuje vzdálené spuštění kódu před autentizací na Drupalu a WordPressu.
Paměť, kterou mohou útočníci číst, může obsahovat hesla, ověřovací tokeny, klíče API a certifikáty patřící jiným požadavkům nebo samotnému serveru, řekl Wiz. Každá verze PHP vydaná v posledním desetiletí – počínaje PHP 5.4 – je postižena alespoň jednou ze zranitelností a společnost říká, že tyto patří mezi nejzávažnější chyby, jaké kdy byly v PHP nalezeny.
Kam přichází umělá inteligence
Nejdůležitější tvrzení ve zprávě Wiz se vůbec netýká PHP – jde o to, co udělaly modely hraniční umělé inteligence, aby využily vývoj.
Základní nedostatky, píše Wiz, byly přítomny po celá desetiletí, ale prokázání využitelnosti vyžadovalo „výjimečně složitý řetězec kroků na hranici toho, čeho by lidští výzkumníci mohli prakticky dosáhnout“. Tento exploit musel zřetězit více chyb a přizpůsobit se rozložení paměti každého cíle opakovaným testováním a laděním.
Společnost říká, že modely Frontier AI tuto bariéru podstatně snížily – „proměnily dlouhodobou chybu na exploit“ – a umožnily týmu Wiz vyvíjet a přizpůsobovat pracovní exploity pro více aplikací během hodin, nikoli týdnů.
"Jak se čas a odborné znalosti potřebné pro tuto práci snižují, složitost již nemusí představovat smysluplnou bariéru a mění způsob, jakým definujeme, co je v praxi zranitelné," napsali vědci.
Bod obratu v éře AI?
Wiz explicitně zarámuje PHP2Shell vedle dvou dřívějších přelomových momentů v oblasti webové bezpečnosti: Heartbleed v roce 2014, který odhalil křehkost sdílené infrastruktury zajišťující internet, a Log4Shell v roce 2021, který odhalil, jak hluboce zabudované softwarové závislosti vytvářejí rozsáhlé odhalení. Společnost tvrdí, že PHP2Shell by mohl znamenat podobný zlom – tentokrát ilustrující, jak AI mění praktickou využitelnost dlouho známých slabin.
Na tomto rámování záleží mimo PHP. Teoretické zranitelnosti, které byly bezpečně mimo dosah, protože jejich zneužití bylo příliš těžké, příliš pomalé nebo příliš specializované, mohou být nyní v dosahu dobře vybavených útočníků vyzbrojených nástroji AI – posun se zřejmými důsledky pro obranné rozpočty, kadence oprav a časové osy zveřejňování v celém softwarovém průmyslu.
Koordinovaná mezioborová oprava
Zveřejnění bylo koordinované. Wiz poděkoval týmu PHP a OpenAI za jejich práci na zjišťování, koordinaci a ověřování oprav a poznamenal, že OpenAI i PHP zveřejnily své vlastní technické zápisy historie zranitelnosti a procesu odhalení.
Mezioborová skupina – včetně Automattic, Akamai, AWS, Cloudflare, Fastly, Google, Imperva, Microsoft a Vercel – připravila pokyny a okamžitá zmírnění pro zákazníky, kteří nemohou provést opravu okamžitě. Cloudflare 21. října samostatně oznámila, že pro své zákazníky nasadila ochranu WAF proti zranitelnostem PHP.
Co by měli dělat vlastníci stránek
Rada od Wiz je přímočará: okamžitě opravte. Projekt PHP vydal opravy zranitelností bezpečnosti paměti 21. října 2026 a každé podporované nasazení PHP by se mělo co nejdříve aktualizovat.
Organizace, které nemohou provést opravu okamžitě, by měly použít zmírnění zveřejněná jejich poskytovateli CDN, hostingu nebo WAF, z nichž několik odeslalo pravidla zacílená na řetězce exploitů v první den. Správci flotil WordPress, Drupal a Joomla by to měli považovat za prioritní cyklus oprav: Wiz předvedl vzdálené spouštění kódu před ověřením na všech třech platformách a cesty ke zranitelnému kódu existují bez ohledu na to, jak dobře jsou aplikace nad nimi udržované.
Hlubší ponaučení může být to, co si vyvodil sám Wiz: když umělá inteligence dokáže zkomprimovat měsíce vytěžovacího inženýrství do hodin, pracovní definice „prakticky zneužitelného“ – a s tím i význam odpovědných časových linií oprav – se právě změnila.
---
Stay Ahead of AIGet the latest AI news, analysis, and breakthroughs — all in one place.
Read more AI news →
