Säkerhetsföretaget Wiz Research avslöjade en uppsättning kritiska sårbarheter i kärnan i PHP-motorn den 21 oktober 2026, och varnade för att bristerna – gemensamt kallade PHP2Shell – möjliggör oautentiserad fjärrexekvering och minnesavslöjande i Heartbleed-stil på programvaran som driver uppskattningsvis 70 procent av alla webbplatser. PHP-projektet släppte patchar samma dag, och Wiz uppmanar till omedelbara uppdateringar över webbens enorma installerade bas.
PHP är ryggraden i mycket av internet: det driver WordPress, Joomla, Drupal och MediaWiki, programvaran som kör Wikipedia. Avgörande är att de nyligen avslöjade buggarna finns i PHP:s kärnmotor, inte i någon applikation som är byggd ovanpå den, vilket innebär att webbplatser kan avslöjas även när deras egen applikationskod är säker. For more context on this story, see our ongoing AI news.
Vad är sårbarheterna
Enligt Wiz tekniska skrivning av forskarna Sagi Tzadik, Shir Tamari, Nir Ohfeld och Tomer Schwartz, är alla avslöjade buggar minnessäkerhetsproblem som har sina rötter i hur PHP hanterar ödesdigra fel under bearbetning av förfrågningar - särskilt fel utan minne. En kraschad begäran kan lämna ett korrupt internt PHP-tillstånd bakom sig, och en senare begäran eller arbetare som återanvänder det inaktuella tillståndet kan utlösa minnesavslöjande eller minneskorruption.
Fynden grupperades under två CVE med en maximal svårighetsgrad på CVSS 9.2:
- CVE-2026-109618 — en uppladdnings-progress unserializer use-after-free som en angripare kan utnyttja för avslöjande av processminne på avstånd och, i demonstrerade kedjor, fullständig fjärrkörning av kod. Wiz demonstrerade oautentiserat avslöjande av PHP-arbetarminne och pre-autentisering RCE på WordPress, Drupal och Joomla.
- CVE-2026-109619 — ett dödligt fel bakåtspårning utan användning efter användning i kombination med en förvirring av OPcache-typ, som också har visat sig ge förautentisering fjärrkörning av kod på Drupal och WordPress.
Minne som angripare kan läsa kan innehålla lösenord, autentiseringstokens, API-nycklar och certifikat som tillhör andra förfrågningar eller till själva servern, sa Wiz. Varje PHP-version som släppts under det senaste decenniet - som går tillbaka till PHP 5.4 - påverkas av minst en av sårbarheterna, och företaget säger att dessa rankas bland de allvarligaste bristerna som någonsin hittats i PHP.
Där AI kommer in
Det mest följdriktiga påståendet i Wiz rapport handlar inte alls om PHP – det handlar om vad frontier AI-modeller har gjort för att utnyttja utvecklingen.
De underliggande bristerna, skriver Wiz, hade funnits i årtionden, men att bevisa exploateringsbarheten krävde "en exceptionellt komplex kedja av steg, i utkanten av vad mänskliga forskare praktiskt taget kunde uppnå." Exploateringen var tvungen att kedja flera brister och anpassa sig till varje måls minneslayout genom upprepade tester och felsökning.
Frontier AI-modeller, säger företaget, minskade den barriären avsevärt - "att förvandla en långvarig brist till en exploatering" - och gjorde det möjligt för Wiz team att utveckla och anpassa arbetstillverkningar över flera applikationer på timmar snarare än veckor.
"Eftersom tiden och expertis som krävs för detta arbete minskar, kan komplexiteten inte längre utgöra en meningsfull barriär, vilket förändrar hur vi definierar vad som är sårbart i praktiken", skrev forskarna.
En vändpunkt i AI-eran?
Wiz ramar in PHP2Shell uttryckligen tillsammans med två tidigare vattendelare i webbsäkerhet: Heartbleed 2014, som avslöjade bräckligheten i den delade infrastrukturen som säkrar internet, och Log4Shell 2021, som avslöjade hur djupt inbäddade mjukvaruberoenden skapar omfattande exponering. Företaget hävdar att PHP2Shell kan markera en liknande vändpunkt - den här gången illustrerar hur AI förändrar den praktiska exploateringen av sedan länge kända svagheter.
Den inramningen är viktigare än PHP. Teoretiska sårbarheter som var säkert utom räckhåll eftersom det var för svårt, för långsamt eller för specialiserat att utnyttja dem kan nu vara inom räckhåll för välresursstarka angripare beväpnade med AI-verktyg – en förändring med uppenbara konsekvenser för försvarsbudgetar, patch-kadenser och tidslinjer för avslöjande inom mjukvaruindustrin.
En samordnad branschöverskridande lösning
Avslöjandet samordnades. Wiz tackade PHP-teamet och OpenAI för deras arbete med upptäckt, koordinering och patchverifiering, och noterade att både OpenAI och PHP publicerade sina egna tekniska beskrivningar av sårbarhetens historia och avslöjandeprocess.
En branschöverskridande grupp – inklusive Automattic, Akamai, AWS, Cloudflare, Fastly, Google, Imperva, Microsoft och Vercel – förberedde vägledning och direkta åtgärder för kunder som inte kan patcha omedelbart. Cloudflare meddelade separat den 21 oktober att de har implementerat WAF-skydd mot PHP-sårbarheter för sina kunder.
Vad webbplatsägare bör göra
Råden från Wiz är raka: lappa omedelbart. PHP-projektet släppte korrigeringar för minnessäkerhetssårbarheterna den 21 oktober 2026, och varje PHP-distribution som stöds bör uppdateras så snart som möjligt.
Organisationer som inte kan korrigera omedelbart bör tillämpa de begränsningar som publicerats av deras CDN-, värd- eller WAF-leverantörer, av vilka flera skickade regler som riktade sig mot exploateringskedjorna på dag ett. Administratörer av WordPress-, Drupal- och Joomla-flottor bör behandla detta som en prioriterad patchcykel: Wiz demonstrerade förautentisering av fjärrkod för alla tre plattformarna, och de sårbara kodvägarna existerar oavsett hur välskötta applikationerna ovanför dem är.
Den djupare lärdomen kan vara den som Wiz själv drog: när AI kan komprimera månader av exploateringsteknik till timmar, har branschens arbetsdefinition av "praktiskt sett exploateringsbar" - och med det innebörden av ansvarsfulla lappningstidslinjer - precis förändrats.
---
Stay Ahead of AIGet the latest AI news, analysis, and breakthroughs — all in one place.
Read more AI news →
