OpenAI обнаружила две критические уязвимости в языке программирования PHP, зарегистрированные под номерами CVE-2026-109618 и CVE-2026-109619. Обе ошибки получили оценку 9.2 по шкале CVSS и позволяют злоумышленникам удаленно выполнять код на сервере без авторизации.
Уязвимости были выявлены в ходе аудита, проведенного в рамках программы OpenAI Patch the Planet, запущенной в августе 2026 года. Это первый публичный случай использования ИИ для поиска уязвимостей в масштабах интернета до того, как они были использованы для атак.
Исправления были выпущены 21 октября 2026 года для версий PHP 8.2.35, 8.3.36, 8.4.27 и 8.5.12. Разработка патчей заняла около двух месяцев при участии разработчиков PHP, сторонних фирм по кибербезопасности, а также специалистов из Google и Wiz.
Для проверки систем на наличие уязвимостей OpenAI представила инструмент php2shell-checker. Кроме того, проверку версий PHP на соответствие этим угрозам можно выполнить с помощью ИИ-агента Codex от OpenAI.
