Odkrycie i skala zagrożenia
Firma OpenAI podaje, że grupa zajmująca się bezpieczeństwem z użyciem sztucznej inteligencji zidentyfikowała krytyczny problem w PHP za pomocą modelu GPT-5.6 Sol, a firma Wiz niezależnie odkryła te same luki. Problem dotyczy języka PHP, który według danych W3Techs napędza blisko 70 procent stron internetowych o znanym języku backendowym, w tym system WordPress oraz Wikipedia. Z tego powodu skutki dotknęły między innymi serwisy DeviantArt, 4chan, a także wybrane agencje rządowe w Finlandii i w Holandii, które wyłączyły swoje strony w celach ostrożnościowych.
Sama niedomoga tkwiła w kodzie od około 20 lat. Jednak dopiero wykorzystanie nowoczesnych modeli sztucznej inteligencji pozwoliło na przekształcenie złożonego ciągu kroków w realne i niebezpieczne zagrożenie. Przedstawiciele firmy Wiz określają to znalezisko jako jedno z najpoważniejszych w historii oprogramowania.
Szczegóły techniczne i wektory ataków
Grupa PHP Group potwierdza, że hakerzy mogą wykorzystać dwie luki do nieuwierzytelnionego zdalnego wykonania kodu, co pozwala na uruchamianie własnych poleceń, zmianę treści oraz wgląd w zapisane dane bez dostępu do konta administratora. Pierwszy problem oznaczony jako CVE-2026-109618 wiąże się z błędną obsługą braku pamięci, gdzie czyszczenie żądania traktuje niepełne dane jako prawidłowe. Drugi problem oznaczony jako CVE-2026-109619 dotyczy stanu globalnego, który przetrwa zwolnienie pamięci i może zostać użyty przez kolejne żądanie przed jego normalną inicjalizacją.
Przedstawiciel firmy Cloudflare informuje, że w krótkim czasie od publikacji informacji zaobserwowano pierwsze próby ataków. Atakujący mogą zyskać pełną kontrolę nad serwerem, w tym dostęp do haseł, kluczy API, certyfikatów kryptograficznych oraz baz danych zawierających poufne informacje.
Zalecenia dla administratorów i właścicieli stron
Użytkownicy korzystający z platform takich jak Squarespace lub Wix nie są narażeni, ponieważ te systemy nie obsługują PHP. Właściciele stron korzystający z tradycyjnego hostingu, takiego jak GoDaddy, Hostinger czy Bluehost, powinni niezwłocznie sprawdzić wersję PHP na swoim serwerze. Firmy hostingowe zalecają instalację przygotowanych poprawek w najkrótszym możliwym czasie.
Serwisy korzystające z wersji PHP 8.1 lub starszych muszą wykonać aktualizację do nowszej gałęzi, ponieważ starsze wydania nie otrzymują już wsparcia ani oficjalnych łatek bezpieczeństwa. W przypadku posiadania wrażliwych danych lub prowadzenia sprzedaży online, administratorzy powinni rozważyć tymczasowe wyłączenie strony do momentu, aż dostawca hostingu wdroży aktualizację środowiska PHP.
