Изкуствен интелект ги откри пръв: PHP закърпи две критични пробойни
Две грешки в PHP позволяват на хакери да изпълняват код на сървъри без вход в системата. Открити са с помощта на ИИ. Властите призовават за незабавно обновяване.
Символна снимка · Снимка: Ron23545 / Wikimedia Commons, CC BY-SA 4.0 (изрязана и мащабирана)
Разработчиците на езика за програмиране PHP пуснаха в сряда спешни обновления за две критични уязвимости (CVE-2026-109618 и CVE-2026-109619). И двете грешки в паметта са оценени с 9,2 по скалата CVSS 4: чрез тях нападател може без вход в системата да изпълни зловреден код на почти всеки сървър с PHP. Поправките са в PHP 8.5.12, 8.4.27, 8.3.36 и 8.2.35, а за неподдържаните вече версии от 7.4 до 8.1 има допълнителни корекции. Според компанията Wiz PHP задвижва около 70% от всички уебсайтове.
Първата грешка е открита още през август от фирмата Calif с модела GPT-5.6 Sol на OpenAI – при проверка на изходния код на PHP, финансирана от програмата на OpenAI „Patch the Planet“. Седмици по-късно Wiz независимо откри пробойните, също с помощта на ИИ, и ги сравни с Heartbleed и Log4Shell. OpenAI определи случая като един от най-сериозните проблеми със сигурността от дълго време насам и очаква подобните находки рязко да зачестят през следващите месеци.
Екипът за киберсигурност на ЕС CERT-EU препоръча сайтове, които не могат да бъдат обновени веднага, да бъдат спрени временно; подобен съвет даде британският NCSC, а австралийската киберагенция ACSC призова да се подготвят обновленията. Cloudflare активира защитни правила за всички клиенти часове преди разкриването, но ги определи само като временна мярка. Wordfence предупреждава, че автоматичните обновления на WordPress не решават проблема – трябва да се обнови самият PHP на сървъра.