Wiz Research i firma Calif, korzystając z Gemini 4 Argon i GPT-5.6 Sol, wykryły dwie krytyczne luki w rdzeniu PHP — języku napędzającym około 70 procent stron internetowych. PHP Foundation wydała łatki 21 października 2026, a NSA zaleciła wyłączanie serwerów, których nie da się natychmiast zaktualizować.
Najważniejsze w skrócie
- Dwa CVE — CVE-2026-109618 i CVE-2026-109619 — z najwyższym wynikiem CVSS 9.2
- Nieuwierzytelnione RCE?RCE: zdalne wykonanie kodu na serwerze, bez logowania i bez żadnych uprawnień zademonstrowane na WordPressie, Drupalu i Joomli
- Podatne są wszystkie wydania PHP od wersji 5.4, bezpieczna jest 8.5.12
- Wiz użył trzech narzędzi AI: agenta Wiz Atlas, Gemini 4 Argon i GPT-5.6 Sol
Błąd siedzi w silniku, nie w aplikacji
Obie podatności to błędy bezpieczeństwa pamięci w obsłudze jej wyczerpania w trakcie żądania. Przerwane żądanie zostawia uszkodzony stan, który kolejne żądanie tego samego workera?workera: pojedynczy proces serwera obsługujący kolejno przychodzące żądania może ponownie wykorzystać.
Wiz połączył je w jeden skrypt php2shell i uzyskał nieuwierzytelnione wykonanie kodu na świeżych obrazach WordPressa, Drupala i Joomli. Błąd leży poniżej warstwy aplikacji — podatna jest nawet aplikacja „Hello World" na nieaktualnym PHP. Druga ścieżka pozwala odczytać z pamięci workera hasła, tokeny i klucze API, bez zdobywania RCE.
Diagram odwzorowuje kolejność zdarzeń opisaną w raporcie Wiz. Nie pokazuje szczegółów układu pamięci ani drugiej ścieżki, która służy do odczytu sekretów.
Co dokładnie zrobiło AI
Wiz nie twierdzi, że model znalazł błąd samodzielnie. Zespół użył agenta Wiz Atlas, Gemini 4 Argon i GPT-5.6 Sol przy szukaniu luki, budowie exploita i walidacji łatki. Niezależnie firma Calif, uczestnik programu OpenAI „Patch the Planet", znalazła jedną z luk przy pomocy GPT-5.6 Sol.
| Data | Zdarzenie |
|---|---|
| 19 sierpnia | Wiz znajduje pierwszą podatność |
| 20 sierpnia | potwierdzone RCE na Drupalu |
| 24 sierpnia | zgłoszenie zespołowi PHP |
| 20 października | identyfikatory CVE wyciekają na fora |
| 21 października | PHP Foundation wydaje łatki, dobę przed planem |
Przez ponad dekadę te krytyczne luki pozostawały nietknięte, bo wykrywanie i wykorzystywanie podatności było niesamowicie złożone.
Raluca Ada Popa, szefowa bezpieczeństwa Gemini w Google DeepMind.
Wyciek, który przyspieszył wydanie
20 października identyfikatory CVE zaczęły krążyć po forach — z zawyżonym CVSS?CVSS: standardowa skala oceny wagi podatności, od 0 do 10 10.0 zamiast faktycznych 9.2. PHP Foundation wydała łatki dobę wcześniej, niż planowała. Calif omyłkowo opublikowała wideo z działającym proof of concept, a kopie usuniętego nagrania przyspieszyły powstawanie exploitów.
Dlaczego to ważne?
Wiz stawia PHP2Shell obok Heartbleed i Log4Shell, ale z inną puentą: zmieniła się nie podatność, a jej opłacalność. Dotąd barierą była złożoność exploita — dziś model dostosowuje atak do konkretnej wersji i układu pamięci w kilka godzin. To przesuwa granicę tego, co uznaje się za realnie wykorzystywalne. Zdolność działa po obu stronach, lecz obrońcy muszą załatać miliony serwerów, a atakującemu wystarczy jeden.
Co dalej?
- Pełną naprawą jest tylko aktualizacja do PHP 8.5.12 — wersje 8.1 i starsze nie są wspierane
- Wiz zapowiada kolejne warianty tego błędu w kodzie PHP, objęte tymi samymi dwoma CVE
- Cloudflare, Fastly, Google Cloud i Vercel udostępniły mitygacje dla serwerów bez szybkiej aktualizacji
Źródła
- Wiz Blog — PHP2Shell: AI uncovers critical RCE vulnerabilities affecting 70% of the Internet
- The PHP Foundation — Today's PHP Security Release, and How We're Strengthening PHP Security
- OpenAI — Patch the Planet: global response coordination as agents uncover critical vulnerabilities
- TechCrunch — PHP Armageddon: OpenAI, Google's Wiz find ancient holes, panicking the internet
