Luka php2shell i rola AI w bezpieczeństwie open source

21 października 2026 roku projekt PHP wydał wersje 8.5.12, 8.4.27, 8.3.36 i 8.2.35, aby usunąć dwie krytyczne podatności umożliwiające zdalne wykonanie kodu, nazwane „php2shell”. Luki, oznaczone jako CVE-2026-109618 i CVE-2026-109619 i ocenione przez zespół bezpieczeństwa na 9,2 w skali CVSS v4.0, dotyczą błędnej obsługi wyczerpania pamięci oraz stanu use-after-free podczas przetwarzania żądań webowych. Według wytycznych CISA problem dotyczy konfiguracji obsługujących ruch webowy, a firma Tenable wskazuje, że podatny kod sięga aż PHP 5.4.0. CISA zaleca szybką aktualizację, zaczynając od systemów wystawionych do internetu, oraz izolowanie tych, których nie da się zaktualizować lub które działają na PHP 8.1 lub starszym; dla nich istnieją tylko backporty w kodzie źródłowym dla wersji 7.4, 8.0 i 8.1.

Amazon Threat Intelligence poinformował, że 17 października, cztery dni przed oficjalnym ujawnieniem, wykrył w swoich honeypotach próbę wykorzystania luki, zaznaczając, że nie wiadomo, skąd atakujący miał te informacje. 20 października około 15:00 UTC CVE zaczęły krążyć w sieci z błędną datą i oceną; około 20:00 UTC Calif przez pomyłkę opublikował wideo z proof of concept, które potem usunięto. Wydanie poprawek przyspieszono z 22 na 21 października, na godzinę 14:00 UTC; tego ranka o 7:41 UTC Chainguard udostępnił zaktualizowane obrazy jeszcze przed formalnym ujawnieniem. Według AWS próby wykorzystania są już powszechne, ale nie wiadomo, czy powiodłyby się na rzeczywistych systemach; w chwili publikacji alertu CISA nie odnotowała udanych ataków.

Według PHP Foundation pierwotną przyczynę podatności zgłosiły Calif 11 sierpnia, Wiz 24 sierpnia oraz, niezależnie, OpenAI 18 września. Według Fortune Calif użył GPT-5.6 Sol, a Wiz – Gemini 4 Argon, GPT-5.6 Sol i własnego narzędzia Wiz Atlas. Wiz we wpisie na blogu, który cytuje Fortune, mówi o 70 procentach internetu objętych problemem: to szacunek niezweryfikowany niezależnie. Palo Alto Networks, również według Fortune, zidentyfikowało 22,6 mln potencjalnie podatnych instancji.

Sama PHP Foundation podaje, że na początku 2026 roku przeanalizowała PHP modelem Claude Mythos firmy Anthropic wspólnie z Alpha-Omega i że do weryfikacji raportów oraz exploitów używa Daybreak Red od OpenAI. Od 1 lipca 2026 roku zespół opublikował 15 CVE i obsłużył ponad 100 zgłoszeń, które okazały się nieważne, zduplikowane lub niemożliwe do odtworzenia. Jak zauważa fundacja, rozwój badań wspieranych przez AI sprawia, że zespół bezpieczeństwa dostaje znacznie więcej zgłoszeń niż dawniej, a każda decyzja i każda poprawka nadal zależą od bezpośredniej pracy ludzi.

Ta sprawa sugeruje, że modele językowe sprawiają, iż dawne błędy w kodzie wychodzą na jaw coraz częściej, a jednocześnie rośnie ilość weryfikacji spadającej na ludzkich opiekunów, którzy odpowiadają za poprawki.

— Olya