Редакция Интелектуално
Четири спешни версии на PHP бяха публикувани в рамките на един ден, което показва колко сериозен е проблемът. На 21 октомври 2026 г. екипът на проекта пусна PHP 8.5.12, 8.4.27, 8.3.36 и 8.2.35, за да затвори критична уязвимост, която позволява на напълно неавтентифициран нападател да изпълни произволен код на сървъра. Според съобщение на PHP Project всеки от двата открити дефекта е оценен с CVSS 9.2, а историята на откриването им минава и през модели на изкуствен интелект.
Два дефекта в сърцето на езика
Първият проблем, CVE-2026-109618, засяга начина, по който PHP реагира при изчерпване на паметта. Ако заявка достигне зададения лимит в неподходящ момент, вътрешните данни на езика могат да останат частично инициализирани, а системата по-късно погрешно да ги приеме за валидни. Това обяснява екипът по сигурността на PHP в техническия бюлетин в GitHub. Рискът е най-висок при Apache с mod_php, където е демонстрирана пълна атака с една-единствена заявка, преди дори кодът на самото приложение да стартира.
Вторият дефект, CVE-2026-109619, е свързан с вътрешно състояние, което PHP пази между отделни заявки, обработвани от един и същ работен процес. Както посочва PHP Foundation, фатална грешка може да прекъсне обработката в момента, в който паметта вече е освободена, но старата информация остава достъпна. Следваща заявка към същия процес може да я използва, преди нормалната инициализация да я изчисти.
Как изкуственият интелект откри проблема
Според PHP Foundation първите следи от проблема с паметта са забелязани още през 2024 г. по време на първия външен одит на PHP, финансиран от German Sovereign Tech Agency и проведен от компанията Quarkslab. Тогава обаче не е имало ясен път за практическа атака. Обрат настъпва на 11 август 2026 г., когато изследовател от компанията Calif, участваща в инициативата на OpenAI „Patch the Planet“, докладва отдалечено изпълнение на код без предварителни условия и със същата първопричина. Същия ден OpenAI независимо подава сигнал с идентична първопричина, а по-късно през август и септември постъпват допълнителни доклади от компанията Wiz.
Според OpenAI откритието е направено с помощта на модела GPT-5.6 Sol, а Wiz независимо е докладвала и двете уязвимости. Компанията определя случая като един от най-значимите проблеми със сигурността на PHP в последно време и твърди, че моделите са открили дефекта преди нападателите. Това е дало на разработчиците така наречения „прозорец на защитника“, за да подготвят поправка преди публичното оповестяване. PHP Foundation от своя страна подчертава, че изкуственият интелект помага само за проверка и групиране на постъпващите доклади, докато всяко решение и всяка поправка остават работа на хора от екипа.
Генерирано с AIКакво трябва да направят администраторите
PHP Project съветва за незабавно обновяване до версиите 8.2.35, 8.3.36, 8.4.27 или 8.5.12 и подчертава, че това е единственото пълно решение. Временните настройки, описани в техническите бюлетини, само ограничават част от възможните пътища за атака и не правят инсталацията безопасна. По-старите клонове 8.1 и по-ранни вече не получават официални поправки от проекта, но някои дистрибутори на Linux и доставчици на дългосрочна поддръжка могат да предложат собствени версии с пренесена корекция.
За организации в Европейския съюз, включително български фирми и институции, които поддържат PHP приложения на собствена инфраструктура, препоръката е ясна: обновяване веднага. Когато то не е възможно, системите, достъпни от интернет, трябва временно да бъдат изолирани, докато поправката бъде приложена и проверена. PHP Foundation съобщава, че към момента на публикуването на поправката не е открила работещ експлойт, макар тестови материали за уязвимостите вече да са се разпространявали в мрежата преди официалното оповестяване.
