ИИ-модели обнаружили критические уязвимости PHP: риски RCE для миллионов серверов
Компании по кибербезопасности Calif, Wiz и OpenAI сообщают об обнаружении двух критических уязвимостей в языке программирования PHP. Исследование проводилось с использованием передовых искусственных интеллектов: GPT-5.6 Sol, Gemini 4 Argon и специализированных инструментов Wiz Atlas.
Уязвимости, получившие номера CVE-2026-109618 и CVE-2026-109619, позволяют злоумышленникам выполнять удаленный код на серверах без необходимости аутентификации. Эксперты оценили критичность этих дефектов в 9.2 баллов по международной шкале CVSS v4.0, что классифицирует их как угрозы высочайшего уровня.
Процесс обнаружения начался после того, как PHP Foundation присоединилась к инициативе OpenAI «Patch the Planet». Аудит компании Calif был запущен 30 июля 2026 года. Уже 11 августа исследователи зафиксировали возможность эксплуатации уязвимостей, которые затрагивают широкий спектр сред выполнения PHP.
Под удар попадают практически все популярные версии языка: от серии 8.5 до 8.2, а также более старые релизы. В зоне риска находятся не только стандартные конфигурации, но и специфические среды, такие как mod_php для Apache, PHP-FPM, php-cgi, FrankenPHP и LiteSpeed.
Разработчики уже подготовили исправления: версии 8.5.12, 8.4.27, 8.3.36 и 8.2.35 устраняют описанные дефекты. PHP-команда особо отмечает высокий риск для модуля mod_php, так как существуют доказательства возможности запуска атак до того, как будет загружено основное приложение.
Этот случай демонстрирует двойственную роль ИИ в современной кибербезопасности: те же алгоритмы, которые помогают защитникам находить скрытые бреши в коде, потенциально могут быть использованы злоумышленниками для автоматизированного поиска уязвимостей и масштабирования атак.