Компания OpenAI сообщила об обнаружении двух опасных уязвимостей в PHP в рамках инициативы по кибербезопасности Patch the Planet. Исследователи использовали искусственный интеллект GPT-5.6 Sol для анализа исходного кода и поиска ошибок, которые могли представлять угрозу для огромного количества веб-сайтов.
Уязвимости CVE-2026-109618 и CVE-2026-109619 связаны с неправильным управлением памятью и обработкой критических ошибок. При определённых условиях они позволяли злоумышленникам без авторизации выполнять произвольный код на сервере или получать доступ к информации в оперативной памяти, включая пароли, токены и ключи API.
Обе проблемы получили оценку критичности 9,2 балла из 10. Особую опасность представляло то, что ошибки находились непосредственно в движке PHP, поэтому затронутыми могли оказаться даже сайты с безопасным кодом приложений.
По данным OpenAI, одна из проблем была известна разработчикам ещё с 2024 года, однако определить способ её эксплуатации и подготовить полноценное исправление долгое время не удавалось. С помощью ИИ исследователи смогли продемонстрировать практическую возможность атаки примерно за две недели.
После двух месяцев совместной работы OpenAI, PHP Foundation и специалистов по кибербезопасности были выпущены исправленные версии PHP 8.2.35, 8.3.36, 8.4.27 и 8.5.12. Более старые ветки, включая PHP 8.1, официальных обновлений не получат.
В OpenAI считают этот случай примером того, как искусственный интеллект может помочь защитить интернет-инфраструктуру. Компания призывает разработчиков своевременно устанавливать обновления, поскольку аналогичные возможности ИИ могут использовать и злоумышленники.
