Firma de securitate Wiz Research a dezvăluit un set de vulnerabilități critice în motorul de bază PHP pe 21 octombrie 2026, avertizând că defecțiunile - denumite colectiv PHP2Shell - permit execuția neautentificată de cod de la distanță și dezvăluirea memoriei în stil Heartbleed pe software-ul care alimentează aproximativ 70% din toate site-urile web. Proiectul PHP a lansat corecții în aceeași zi, iar Wiz solicită actualizări imediate pe baza enormă de instalate a web-ului.

PHP este coloana vertebrală a unei mari părți a internetului: alimentează WordPress, Joomla, Drupal și MediaWiki, software-ul care rulează Wikipedia. În mod esențial, erorile nou dezvăluite trăiesc în motorul de bază al PHP, nu în nicio aplicație construită deasupra acestuia, ceea ce înseamnă că site-urile pot fi expuse chiar și atunci când propriul cod de aplicație este securizat. For more context on this story, see our ongoing artificial intelligence updates.

Care sunt vulnerabilitățile

Conform scrierii tehnice a lui Wiz de către cercetătorii Sagi Tzadik, Shir Tamari, Nir Ohfeld și Tomer Schwartz, toate erorile dezvăluite sunt probleme de siguranță a memoriei care au rădăcini în modul în care PHP tratează erorile fatale în timpul procesării cererilor - în special erorile lipsite de memorie. O solicitare blocată poate lăsa în urmă o stare PHP coruptă, iar o solicitare ulterioară sau un lucrător care reutiliza acea stare învechită poate declanșa dezvăluirea memoriei sau coruperea memoriei.

Constatările au fost grupate în două CVE cu o severitate maximă de CVSS 9.2:

  • CVE-2026-109618 — un deserializator de încărcare-progres de utilizare-după gratuită pe care un atacator îl poate folosi pentru dezvăluirea de la distanță a memoriei procesului și, în lanțuri demonstrate, execuția completă a codului de la distanță. Wiz a demonstrat dezvăluirea neautentificată a memoriei lucrătorilor PHP și pre-autentificarea RCE pe WordPress, Drupal și Joomla.
  • CVE-2026-109619 — o eroare fatală de urmărire înapoi, după utilizare, combinată cu o confuzie de tip OPcache, de asemenea, a demonstrat că produce execuția de cod de la distanță pre-autentificare pe Drupal și WordPress.

Memoria pe care atacatorii o pot citi poate conține parole, jetoane de autentificare, chei API și certificate aparținând altor solicitări sau serverului însuși, a spus Wiz. Fiecare versiune PHP lansată în ultimul deceniu – care revine la PHP 5.4 – este afectată de cel puțin una dintre vulnerabilități, iar compania spune că acestea se numără printre cele mai grave defecte găsite vreodată în PHP.

Unde intervine AI

Cea mai importantă afirmație din raportul lui Wiz nu este deloc despre PHP - este despre ceea ce modelele AI de frontieră au făcut pentru a exploata dezvoltarea.

Defectele care stau la baza, scrie Wiz, erau prezente de zeci de ani, dar demonstrarea exploatabilității a necesitat „un lanț de pași excepțional de complex, la marginea a ceea ce cercetătorii umani ar putea realiza practic”. Exploita-ul a trebuit să înlănțuiască mai multe defecte și să se adapteze la aspectul memoriei fiecărei ținte prin teste și depanare repetate.

Modelele AI de frontieră, spune compania, au redus substanțial această barieră – „transformând un defect de lungă durată într-un exploit” – și au permis echipei Wiz să dezvolte și să adapteze exploit-uri de lucru în mai multe aplicații în câteva ore și nu în săptămâni.

„Pe măsură ce timpul și expertiza necesare pentru această muncă scad, complexitatea ar putea să nu mai ofere o barieră semnificativă, schimbând modul în care definim ceea ce este vulnerabil în practică”, au scris cercetătorii.

Un punct de cotitură în era AI?

Wiz încadrează în mod explicit PHP2Shell alături de două momente anterioare de referință în securitatea web: Heartbleed în 2014, care a expus fragilitatea infrastructurii partajate care securizează internetul, și Log4Shell în 2021, care a dezvăluit cât de profund încorporate dependențele de software creează o expunere pe scară largă. Compania susține că PHP2Shell ar putea marca un punct de cotitură similar – de data aceasta ilustrând modul în care AI modifică exploatarea practică a punctelor slabe cunoscute de mult.

Această încadrare contează dincolo de PHP. Vulnerabilitățile teoretice care nu erau la îndemână, deoarece exploatarea lor era prea grea, prea lentă sau prea specializată, ar putea fi acum la îndemâna atacatorilor bine dotați, înarmați cu instrumente AI - o schimbare cu implicații evidente pentru bugetele de apărare, cadențe de corecție și termene de dezvăluire în industria software.

O soluție coordonată inter-industrială

Dezvăluirea a fost coordonată. Wiz a mulțumit echipei PHP și OpenAI pentru munca lor privind descoperirea, coordonarea și verificarea patch-urilor, menționând că atât OpenAI, cât și PHP și-au publicat propriile scrieri tehnice ale istoriei și procesului de dezvăluire a vulnerabilității.

Un grup intersectorial – inclusiv Automattic, Akamai, AWS, Cloudflare, Fastly, Google, Imperva, Microsoft și Vercel – a pregătit îndrumări și măsuri de atenuare imediate pentru clienții care nu pot corecta imediat. Cloudflare a anunțat separat pe 21 octombrie că a implementat protecție WAF împotriva vulnerabilităților PHP pentru clienții săi.

Ce ar trebui să facă proprietarii de site-uri

Sfatul de la Wiz este clar: plasați imediat. Proiectul PHP a lansat remedieri pentru vulnerabilitățile de siguranță a memoriei pe 21 octombrie 2026 și fiecare implementare PHP acceptată ar trebui să se actualizeze cât mai curând posibil.

Organizațiile care nu pot corecta imediat ar trebui să aplice atenuările publicate de furnizorii lor de CDN, găzduire sau WAF, dintre care mai multe au livrat reguli care vizează lanțurile de exploatare în prima zi. Administratorii flotelor WordPress, Drupal și Joomla ar trebui să trateze acest lucru ca pe un ciclu de corecție prioritar: Wiz a demonstrat execuția de cod de la distanță pre-autentificare pe toate cele trei platforme, iar căile de cod vulnerabile există indiferent de cât de bine întreținute sunt aplicațiile de deasupra lor.

Lecția mai profundă poate fi cea pe care Wiz însuși a tras-o: atunci când AI poate comprima luni de inginerie de exploatare în ore, definiția de lucru a industriei a „exploatabil practic” – și odată cu aceasta, sensul termenelor de corecție responsabilă – tocmai s-a schimbat.

---

Stay Ahead of AI

Get the latest AI news, analysis, and breakthroughs — all in one place.

Read more AI news →