Opiekunowie PHP wydali w środę awaryjne poprawki, jeden dzień przed planowanym terminem, po tym jak w sieci wyciekły szczegóły dwóch krytycznych podatności przed datą ich skoordynowanej publikacji. Luki pozwalają atakującym przejąć kontrolę nad serwerami działającymi na PHP — języku, który obsługuje około 70% stron internetowych z znanym językiem po stronie serwera.

Skoordynowana publikacja była zaplanowana na 22 października, według Grega Brockmana, prezydenta OpenAI, które opisało przedsięwzięcie w ogłoszeniu o skoordynowanej publikacji. Skoordynowana publikacja ma zapewnić, że poprawki będą gotowe, zanim techniczne szczegóły staną się publiczne — bufor, który wczesny wyciek skutecznie skcił. Ponieważ szczegóły zaczęły się pojawiać przed tą datą, opiekunowie PHP przyspieszyli wydanie na 21 października.

„Jestem wdzięczny, że koalicja zdołała przygotować się przez całe dwa miesiące”, powiedział Brockman we wpisie na X. Dodał, że wyciek na długo przed gotowością poprawki „miałby bardzo poważne skutki”.

Podatności stały się publiczne, zanim poprawki były dostępne, powiedziała Joviane Jardim, starsza badaczka bezpieczeństwa w Detectify. Jardim stwierdziła, że atakujący i obrońcy efektywnie wystartowali w tym samym czasie.

Dwie luki o ocenie 9,2 na 10 umożliwiają zdalne wykonanie kodu

Błędy, oznaczone jako CVE-2026-109618 i CVE-2026-109619, mają każdy wskaźnik krytyczności 9,2 na 10. Oba są ocenione jako krytyczne i umożliwiają zdalne wykonanie kodu na niezałatanych serwerach — możliwość uruchamiania dowolnych poleceń na maszynie z poziomu internetu. Zbiorczo luki nazwano „PHP2Shell”.

Brockman powiedział, że podstawowy błąd istniał w PHP od 14 lat — okres wystarczająco długi, by wyprzedzać wszystkie linie wydawnicze objęte obecnie oficjalnym wsparciem. Ograniczona wersja ujawniła się w 2024 roku, ale „nie uznano jej wówczas za istotną”, dodał.

Zespół bezpieczeństwa PHP wydał ostrzeżenie we wtorek wieczorem, a poprawki zaczęły być udostępniane po 10:00 czasu wschodniego w środę.

Finlandia, Holandia i Francja wyłączają strony rządowe

Administratorzy działali szybko. W środę setki stron zostało wyłączonych, przy czym Finlandia, Holandia i Francja zamknęły strony rządowe ze względów ostrożności — radykalny, ale skuteczny sposób usunięcia powierzchn ataku na czas ładowania serwerów. UE, USA, Niemcy, Japonia, Australia i Wielka Brytania również wydały lokalne ostrzeżenia, a Nintendo i inne duże organizacje wyłączyły usługi w celu ich załatania.

Cloudflare już obserwuje ataki i wdrożył doraźne środki zaradcze dla części klientów, powiedział dyrektor techniczny Dane Knecht. Jake Knott, szef działu analizy zagrożeń w watchTowr, powiedział, że jego zespół śledzi próby wykorzystania luki w praktyce za pomocą opracowanych z użyciem AI narzędzi proof-of-concept. Tego rodzaju wysiłki nie przyniosły jeszcze rezultatów, dodał Knott, ale nie oczekuje, że tak pozostanie.

OpenAI twierdzi, że to jego modele wykryły błędy

OpenAI poinformowało, że to jego modele wykryły podatności. Firma bezpieczeństwa Calif wykorzystała GPT-5.6 Sol w ramach programu Patch the Planet prowadzonego przez OpenAI i znalazła jedną wersję błędu w sierpniu. Brockman powiedział, że własny zespół OpenAI odkrył pełniejszą wersję we wrześniu. Firma zajmująca się bezpieczeństwem chmury Wiz niezależnie wykryła i zgłosiła obie luki.

OpenAI powiedziało, że spędziło dwa miesiące, kierując koalicją opiekunów, badaczy i dostawców usług bezpieczeństwa — w tym Wiz i Cloudflare — aby testować poprawki i przygotować wytyczne. Firma zaangażowała również Urząd Krajowego Dyrektora Cyberbezpieczeństwa oraz CISA i zobowiązała się zapewnić miliard dolarów dotowanych dostępu do Daybreak dla organizacji o ograniczonych budżetach bezpieczeństwa, które chronią usługi krytyczne.

OpenAI przyznało, że te same możliwości, które wykryły luki, mogą również pomóc atakującym w szybkim tworzeniu exploitów. Brockman wezwał rządy i innych uprawnionych obrońców do przeszukiwania internetu w poszukiwaniu wystawionych serwerów i, w skrajnych przypadkach, do zdalnego ich ładowania.

Oddzielnie OpenAI poinformowało we wtorek że dwa z jego agentów wyłączyły wewnętrzne monitory niezgodności podczas pracy nad zadaniami programistycznymi, jak doniósł Cryptopolitan.

Około połowa stron PHP działa na niewspieranych wersjach

Około połowa wszystkich stron PHP działa na starszych wersjach, powiedziała Jardim, a oficjalne wydania otrzymują tylko PHP 8.2 i nowsze. „PHP 8.1 i starsze nie otrzymują już aktualizacji od projektu PHP”, stwierdził zespół bezpieczeństwa PHP. Zespół opublikował jednak minimalne backporty źródłowe dla PHP 7.4, 8.0 i 8.1.

Don Smith z Sophos powiedział, że pierwszym krokiem dla obrońców jest zidentyfikowanie każdego miejsca, w którym działa PHP, ponieważ często ukrywa się on pod systemami zarządzania treścią i platformami hostingowymi. Każdy system, którego nie można załatać, powinien zostać odłączony od internetu do czasu zabezpieczenia, dodał.