OpenAI помогла найти критические уязвимости в PHP

OpenAI сообщила о координации международной работы по устранению двух критических уязвимостей в PHP — одном из самых распространенных языков программирования для серверной части сайтов. 

OpenAI models helped researchers—operating as part of our Patch the Planet initiative—discover critical security flaws in PHP, an open-source programming language used to run an estimated 70% of websites. Over the past two months, we led a coalition of maintainers, researchers, and security providers to prepare fixes and protections ahead of disclosure. This duration was necessary because the fix was quite intricate and required a major change to the PHP engine. Every site using PHP can now safely upgrade their version to stay secure, in addition to applying mitigations from various security vendors. Due to the severity of these flaws and PHP’s widespread use, we consider this bug to be one of the most impactful vulnerabilities in recent memory. It also marks a new phase, where AI can find security bugs with internet-scale impact.  This is an example of the Defender’s Window in action: to our knowledge, frontier AI was able to find this vulnerability ahead of attackers, giving defenders time to prepare. https://t.co/TW3jrSbB3f

— OpenAI (@OpenAI) October 21, 2026

В рамках инициативы Patch the Planet исследователи использовали модели компании для поиска ошибок, а разработчики PHP, специалисты по кибербезопасности и инфраструктурные провайдеры готовили исправления и защитные меры. По данным OpenAI, уязвимости удалось выявить до того, как ими воспользовались злоумышленники.

Одна из ошибок была обнаружена исследователями Calif с помощью модели GPT-5.6 Sol. Команда OpenAI позднее выявила более полный вариант проблемы, а специалисты облачной компании Wiz независимо нашли и сообщили об обеих уязвимостях. По словам OpenAI, координация между исследователями, разработчиками и поставщиками средств защиты заняла около двух месяцев.

Что известно об уязвимостях

Ошибки получили идентификаторы CVE-2026-109618 и CVE-2026-109619. Обе оценили в 9,2 балла из 10 по шкале CVSS. Они могли позволить удаленно выполнять произвольный код на уязвимых серверах без аутентификации, потенциально открывая доступ к данным и инфраструктуре веб-приложений.

Two critical vulnerabilities have been identified in PHP, a widely used programming language that powers websites and web applications. These vulnerabilities (CVE-2026-109618 and CVE-2026-109619) could allow malicious cyber actors to remotely execute code in PHP core, potentially compromising sensitive data and networks. The FBI urges organizations to take the following steps now: ➡️ If an immediate update is not feasible it is recommended that organizations take the system offline until it can be fully mitigated. ➡️ Immediately update affected PHP installations following the guidance on https://t.co/rDrPSxB3zX. Inventory where PHP runs in your environment, prioritizing internet-facing systems and vendor products that bundle PHP. ➡️ Monitor web servers for suspicious activity, including PHP processes unexpectedly launching command shells or downloading files. Ensure appropriate process-monitoring capabilities are in place to help identify potential exploitation. ➡️ If you find signs of compromise, isolate affected systems, preserve your web server and PHP logs, and report it to your local FBI field office or https://t.co/iqgVZIbCru. Those reports help us identify the actors involved and warn other organizations before they become victims. For the latest information, follow PHP’s announcement on https://t.co/rDrPSxB3zX, CERT-EU Security Advisory 2026-018, and CISA’s Known Exploited Vulnerabilities catalog.

— FBI Cyber Division (@FBICyberDiv) October 21, 2026

PHP используется примерно на 70% сайтов, для которых известен серверный язык программирования. Это не означает, что все они были уязвимы: риск зависел от версии PHP и конфигурации сервера. После того как сведения об ошибках начали утекать до запланированного раскрытия, выпуск исправлений перенесли на 21 октября. 

На фоне угрозы некоторые государственные сайты в Европе временно отключали, чтобы снизить риск атак до установки обновлений, отметили в Decrypt. Cloudflare сообщила о нескольких попытках атак за несколько часов до выхода патча. 

Разработчики PHP выпустили исправления для поддерживаемых веток 8.2–8.5. OpenAI призвала администраторов как можно скорее обновить системы и представила инструмент проверки версий PHP. 

Компания также отметила, что ИИ способен ускорить поиск уязвимостей, но те же возможности могут помочь злоумышленникам быстрее создавать эксплойты.

OpenAI предложила новый подход к раскрытию уязвимостей

Компания опубликовала собственную схему координации подобных инцидентов: сначала подтвердить проблему и проверить исправление, затем заранее предупредить организации, которым необходимо подготовить защиту, подключить профильные государственные ведомства и инфраструктурных провайдеров, а после выхода патча — обеспечить распространение обновлений и рекомендаций.

OpenAI ожидает, что по мере развития ИИ будет находить больше критических ошибок в широко используемом ПО. 

Компания призвала специалистов по безопасности помочь доработать предложенный подход, в том числе определить, сколько времени нужно для подготовки исправлений и при каких обстоятельствах допустимо раскрывать информацию раньше срока.

Напомним, в июне ИИ-агент OpenAI получил несанкционированный доступ к порталу австралийской программы Medicare и другим государственным сайтам.