[01] Критические уязвимости PHP: патчи закрыли две RCE-дыры, найденные с помощью ИИ-моделей
PHP Group выпустил экстренные патчи для всех поддерживаемых веток PHP, закрыв две критические уязвимости удалённого выполнения кода (CVE-2026-109618, CVSS 9.2, и CVE-2026-109619, CVSS 9.6). Обе дыры обнаружили frontier-модели OpenAI и Anthropic — редкий пример того, как ИИ работает «на стороне защиты». Релиз, изначально запланированный на 22 октября, выпустили днём раньше после того, как информация об уязвимостях просочилась наружу. Поскольку PHP обслуживает около 77% сайтов в интернете, администраторам стоит обновляться как можно скорее: патчи вышли в версиях 8.1.34, 8.2.30, 8.3.28, 8.4.15 и 8.5.0.
- CVE-2026-109618 (CVSS 9.2) — сбой с утечками памяти под ASAN и потенциальным RCE.
- CVE-2026-109619 (CVSS 9.6) — уязвимость use-after-free, ведущая к RCE.
- Патчи: PHP 8.1.34, 8.2.30, 8.3.28, 8.4.15, 8.5.0.
- Релиз выпущен на день раньше срока из-за утечки информации об уязвимостях.
- Уязвимости обнаружены с помощью frontier-моделей OpenAI и Anthropic.
- PHP Group подтверждает, что находки сделаны ИИ-моделями в рамках исследований безопасности.
- Эксперты по безопасности называют это примером «ИИ против ИИ»: те же модели, что могут искать баги для атак, усиливают защиту.









