PHP Foundation выпустила обновления для версий 8.2.35, 8.3.36, 8.4.27 и 8.5.12 для устранения критических уязвимостей. Версии 8.1 и старше официальных исправлений не получат. Релиз патчей перенесли на 21 октября 2026 года из-за преждевременного раскрытия информации.
Уязвимости CVE-2026-109618 и CVE-2026-109619 были выявлены с помощью инструментов OpenAI и специалистов фирмы Calif. Обе ошибки получили оценку критичности 9,2 из 10. Они позволяют удаленно выполнять код без авторизации и получать доступ к паролям и токенам, хранящимся в памяти сервера.
Проблемы связаны с управлением памятью и обработкой ошибок в ядре PHP. Хотя о базовой уязвимости было известно с 2024 года, разработчики не могли найти способ эксплуатации или исправления. Исследователи с помощью ИИ создали работающие эксплойты за две недели.
OpenAI представила этот кейс как пример концепции Defender's Window. Она предполагает использование продвинутых моделей ИИ для поиска и устранения уязвимостей до того, как аналогичные инструменты станут доступны злоумышленникам. Ошибки затрагивают ядро PHP, что потенциально влияет на большинство веб-ресурсов.
