Компания OpenAI совместно с исследователями из Calif и Wiz обнаружила две критические уязвимости в движке PHP. Об этом стало известно 21 октября 2026 года. Уязвимостям присвоены идентификаторы CVE-2026-109618 и CVE-2026-109619, их оценка по шкале CVSS составляет 9,2 балла.
Проблемы позволяют выполнять удаленный код и раскрывать содержимое памяти без прохождения аутентификации. Уязвимости затрагивают версии PHP начиная с 5.4.0. По оценкам, под угрозой находятся около 70% сайтов, использующих PHP, включая такие платформы, как WordPress, Drupal и MediaWiki.
В поиске багов участвовал инструмент OpenAI Codex Security. В августе 2026 года исследователи подтвердили возможность удаленного выполнения кода на базе WordPress и Drupal. Процесс раскрытия информации был скоординирован с AWS, Google Cloud и Microsoft.
Причины уязвимостей кроются в ошибках управления памятью и некорректной обработке глобальных состояний между запросами. Исправление было подготовлено до того, как злоумышленники смогли воспользоваться данными ошибками в своих целях.
Владельцам сайтов на PHP рекомендуется незамедлительно обновить программное обеспечение до исправленных версий. Игнорирование обновлений может привести к серьезным инцидентам безопасности, потере доверия пользователей и значительным финансовым убыткам для бизнеса.
