PHP выпустил обновления для двух критических уязвимостей после совместного исследования с OpenAI

PHP выпустил исправления для CVE-2026-109618 и CVE-2026-109619 в версиях 8.5.12, 8.4.27, 8.3.36 и 8.2.35. Обе уязвимости получили оценку 9,2 по шкале CVSS 4.0 и при определённых условиях допускают удалённое выполнение кода. Исправления касаются внутренних механизмов PHP, через которые проходят веб-запросы, поэтому затронуты разные способы его запуска: PHP-FPM, Apache mod_php, php-cgi, FrankenPHP и LiteSpeed. Для сервера риск зависит от конфигурации и от того, достижим ли уязвимый путь обработки запроса.

В CVE-2026-109618 проблема возникает, когда запрос в подходящий момент достигает лимита памяти. PHP может оставить внутренние данные не до конца инициализированными, а затем обработать их при очистке как корректные. Это приводит к повреждению памяти. Для Apache mod_php исследователи подтвердили возможность удалённого выполнения кода без аутентификации в конфигурации по умолчанию, причём ещё до запуска кода приложения. Для PHP-FPM путь к удалённому выполнению кода также подтвердили, но через код приложения.

CVE-2026-109619 связана с состоянием, которое остаётся после фатальной ошибки: следующий запрос в том же рабочем процессе может обратиться к уже освобождённой памяти. Такой дефект называют use-after-free. Исследователи подтвердили и сбой процесса, и возможность удалённого выполнения кода в сценарии с реальным приложением. Из-за расположения обеих ошибок в ядре PHP команде проекта пришлось учитывать совместимость со старым кодом, производительность и работу сторонних расширений при подготовке исправлений.

Работа над первой проблемой началась задолго до выпуска патча. После внешнего аудита 2024 года разработчик ядра PHP заметил аномалию при исчерпании памяти, но тогда подтверждённого пути к удалённому выполнению кода не было. В июле 2026 года к проверке в рамках программы OpenAI Patch the Planet подключилась компания Calif. 11 августа её исследователь сообщил о рабочем пути атаки; в тот же день OpenAI независимо указала на ту же первопричину. Затем появились дополнительные находки от Wiz и OpenAI. Публикацию обновлений перенесли с 22 на 21 октября после того, как номера уязвимостей начали распространяться до запланированного релиза.

OpenAI поддержала исследование с помощью AI-моделей и специалистов по безопасности, а ядро PHP отвечало за исправления и выпуск версий. Проект также координировал подготовку с организациями, которым требовалось защитить пользователей до раскрытия деталей. Для администраторов временные меры могут снизить риск по отдельным путям атаки, но PHP рекомендует обновиться до исправленной версии своей ветки. История объясняет и долгий срок работ: подтвердить эксплуатацию ошибки удалось раньше, чем подготовить изменение, пригодное для широко используемого рантайма.