21 жовтня 2026 року охоронна фірма Wiz Research оприлюднила набір критичних уразливостей в основному движку PHP, попередивши, що недоліки — під загальною назвою PHP2Shell — дозволяють неавтентифіковане віддалене виконання коду та розкриття пам’яті в стилі Heartbleed у програмному забезпеченні, яке працює приблизно на 70 відсотках усіх веб-сайтів. Проект PHP випустив виправлення того ж дня, і Wiz закликає негайно оновлювати величезну базу встановлених веб-версій.

PHP є основою більшої частини Інтернету: він підтримує WordPress, Joomla, Drupal і MediaWiki, програмне забезпечення, яке запускає Wikipedia. Найважливіше те, що нещодавно виявлені помилки знаходяться в основному механізмі PHP, а не в будь-якій програмі, створеній на його основі, тобто сайти можуть бути виявлені, навіть якщо їхній власний код програми безпечний. For more context on this story, see our ongoing breaking AI news.

Що таке вразливі місця

Відповідно до технічного запису Wiz дослідників Сагі Цадіка, Шира Тамарі, Ніра Охфельда та Томера Шварца, усі виявлені помилки є проблемами безпеки пам’яті, які коряться в тому, як PHP обробляє фатальні помилки під час обробки запитів, зокрема помилки нестачі пам’яті. Збійний запит може залишити пошкоджений внутрішній стан PHP, а пізніший запит або робоча програма, яка повторно використовує цей застарілий стан, може викликати розкриття пам’яті або її пошкодження.

Висновки були згруповані за двома CVE з максимальною серйозністю CVSS 9.2:

  • CVE-2026-109618 — десеріалізатор прогресу завантаження, використання після звільнення, який зловмисник може використовувати для віддаленого розкриття пам’яті процесу та, у продемонстрованих ланцюжках, повного віддаленого виконання коду. Wiz продемонстрував неавтентифіковане розкриття робочої пам’яті PHP і RCE попередньої автентифікації на WordPress, Drupal і Joomla.
  • CVE-2026-109619 — зворотне відстеження використання після звільнення з фатальною помилкою в поєднанні з плутаниною типу OPcache, також продемонстровано, що це призводить до віддаленого виконання коду перед автентифікацією на Drupal і WordPress.

Пам’ять, яку зловмисники можуть прочитати, може містити паролі, маркери автентифікації, ключі API та сертифікати, що належать іншим запитам або самому серверу, сказав Wiz. Кожна версія PHP, випущена за останнє десятиліття — починаючи з PHP 5.4 — має принаймні одну з уразливостей, і компанія каже, що вони є одними з найсерйозніших недоліків, які будь-коли виявляли в PHP.

Де приходить ШІ

Найважливіше твердження у звіті Wiz зовсім не про PHP — це про те, що передові моделі ШІ зробили для використання розробок.

Основні недоліки, як пише Віз, були присутні протягом десятиліть, але для підтвердження можливості використання вимагався «виключно складний ланцюжок кроків, на межі того, що люди могли практично досягти». Експлойт повинен був об’єднати кілька недоліків і адаптуватися до компонування пам’яті кожної цілі шляхом повторного тестування та налагодження.

За словами компанії, моделі Frontier AI суттєво зменшили цей бар’єр — «перетворивши давню помилку на експлойт» — і дозволили команді Wiz розробити та адаптувати робочі експлойти в кількох програмах за години, а не за тижні.

«У міру того, як час і досвід, необхідні для цієї роботи, зменшуються, складність більше не може бути значущим бар’єром, змінюючи те, як ми визначаємо, що є вразливим на практиці», — пишуть дослідники.

Поворотний момент в епоху ШІ?

Wiz явно об’єднує PHP2Shell разом із двома попередніми переломними моментами у веб-безпеці: Heartbleed у 2014 році, який виявив крихкість спільної інфраструктури, що забезпечує захист Інтернету, та Log4Shell у 2021 році, який показав, наскільки глибоко вбудовані залежності програмного забезпечення створюють широке поширення. Компанія стверджує, що PHP2Shell може стати подібним переломним моментом — цього разу проілюструвавши, як штучний інтелект змінює можливість практичного використання давно відомих недоліків.

Це фреймінг має значення не тільки PHP. Теоретичні вразливості, які були безпечно недосяжними через те, що їх використання було надто важким, надто повільним або надто спеціалізованим, тепер можуть опинитися в межах досяжності добре забезпечених зловмисників, озброєних інструментами штучного інтелекту — зміна з очевидними наслідками для оборонних бюджетів, каденції виправлень і термінів розкриття інформації в індустрії програмного забезпечення.

Скоординоване міжгалузеве виправлення

Розкриття було скоординовано. Wiz подякував команді PHP і OpenAI за їх роботу над виявленням, координацією та перевіркою виправлень, зазначивши, що і OpenAI, і PHP опублікували власні технічні описи історії вразливості та процесу розкриття.

Міжгалузева група, включаючи Automattic, Akamai, AWS, Cloudflare, Fastly, Google, Imperva, Microsoft і Vercel, підготувала вказівки та готові засоби пом’якшення для клієнтів, які не можуть виправити миттєво. 21 жовтня Cloudflare окремо оголосила, що розгорнула захист WAF від уразливостей PHP для своїх клієнтів.

Що мають робити власники сайтів

Порада від Wiz пряма: виправляйте негайно. Проект PHP випустив виправлення вразливостей безпеки пам’яті 21 жовтня 2026 року, і кожне підтримуване розгортання PHP має оновитися якомога швидше.

Організації, які не можуть виправити негайно, повинні застосувати засоби пом’якшення, опубліковані їх CDN, хостинг-провайдерами або WAF-провайдерами, деякі з яких надіслали правила, націлені на ланцюжки експлойтів, у перший день. Адміністратори груп WordPress, Drupal і Joomla повинні розглядати це як пріоритетний цикл виправлення: Wiz продемонстрував віддалене виконання коду перед автентифікацією на всіх трьох платформах, і вразливі шляхи коду існують незалежно від того, наскільки добре обслуговуються додатки над ними.

Глибшим уроком може бути той, який витягла сама Wiz: коли штучний інтелект може стиснути місяці розробки експлойтів у години, робоче визначення галузі «практично придатний для експлуатації» — а разом з ним і значення термінів відповідального виправлення — щойно змінилося.

---

Stay Ahead of AI

Get the latest AI news, analysis, and breakthroughs — all in one place.

Read more AI news →