OpenAI помогла найти критические уязвимости в PHP: вышли экстренные обновления

Компания OpenAI приняла участие в обнаружении и устранении критических уязвимостей в языке программирования PHP, лежащем в основе значительной части сайтов современного интернета. Из-за высокого риска масштабных атак разработчики платформы экстренно выпустили обновления, а для ликвидации угрозы была развернута новая схема взаимодействия с участием ИИ, ИБ-компаний и регуляторов.

Детали уязвимостей в ядре PHP

Разработчики PHP выпустили срочные обновления безопасности, закрывающие две опасные бреши: CVE-2026-109618 и CVE-2026-109619. Обе уязвимости получили критический рейтинг опасности 9,2 балла из 10.

Ошибки позволяют злоумышленникам удалённо выполнять вредоносный код (RCE) на сервере без необходимости авторизоваться в системе. С технической точки зрения дефекты связаны с некорректным управлением памятью:

• CVE-2026-109618 вызвана сбоем при обработке условий нехватки оперативной памяти;
• CVE-2026-109619 связана с ошибкой типа use-after-free — повторным обращением к уже освобождённым участкам памяти.

С официальным заявлением мейнтейнеров и техническими параметрами релизов можно ознакомиться на странице архива обновлений проекта: https://www.php.net/archive/2026.php-10-21-5

Роль нейросетей и инициатива Patch the Planet

Как сообщила OpenAI (https://openai.com/index/coordinated-disclosure-of-critical-vulnerabilities/?utm_source=chatgpt.com), обнаружение проблем велось на протяжении двух месяцев. Одну из брешей исследователь под псевдонимом Calif нашёл с помощью нейросетевой модели GPT-5.6 Sol. Параллельно обе проблемы независимо выявили и подтвердили эксперты компании Wiz.

Серьёзность обнаруженных векторов атак потребовала создания единого альянса. OpenAI запустила инициативу Patch the Planet, объединив команду разработчиков PHP, компанию Wiz, облачного провайдера Cloudflare и государственные службы кибербезопасности для подготовки скоординированного ответа.

Новый регламент раскрытия и поддержка Daybreak

В рамках ликвидации угрозы была протестирована новая схема реагирования на критические инциденты:

• Нейросетевые инструменты находят и автоматически валидируют уязвимости в коде;
• Авторы программного обеспечения создают исправления в закрытом контуре;
• Поставщики сетевой инфраструктуры предварительно разворачивают защитные фильтры;
• Информация о проблеме и готовые патчи публикуются для широкой общественности.

Дополнительно OpenAI выделила 1 млрд долларов в виде субсидированного доступа к собственной платформе кибербезопасности Daybreak. Программа рассчитана на организации и разработчиков с ограниченными ресурсами, отвечающих за поддержание критически важной сетевой инфраструктуры.