Критични уязвимости в езика за уеб програмиране PHP биха могли да позволят на атакуващи да поемат пълен контрол над всеки уебсайт, използващ широко разпространения софтуер, заявиха разработчиците на PHP в сряда, докато пускаха спешни обновления, които накараха собствениците на сайтове трескаво да отстраняват дефектите.
„Всички потребители на PHP са силно насърчавани да обновят незабавно“, заявиха разработчиците в бюлетин за сигурност относно новите версии, които коригират уязвимости, проследявани като CVE-2026-109618 и CVE-2026-109619. И двете уязвимости биха могли да позволят на атакуващи да изпълняват злонамерен код и потенциално да поемат контрол над уебсайтове, разработени с популярния език с отворен код.
„Тези уязвимости често осигуряват директен достъп до файловата система или базата данни на сървъра“, заяви Агенцията за национална сигурност на САЩ (NSA) в социалните мрежи.
Обхватът на потенциалните щети, свързани с уязвимостите в PHP, остава неясен, но изследовател изчислява, че над 1,3 милиона уебсайта са уязвими. Притежаваната от Google компания за сигурност Wiz заяви, че PHP „захранва 70% от всички уебсайтове в света“.
„Тези открития се нареждат сред най-тежките уязвимости, откривани някога в PHP, и вероятно в историята на софтуера изобщо“, пишат изследователите от Wiz в публикация в блога си.
Правителствени агенции за киберсигурност по целия свят, включително във Великобритания, Канада и Австралия, както и екипът за спешно реагиране при киберинциденти на Европейския съюз, призоваха администраторите на сайтове да ги спрат временно, докато техните PHP версии не бъдат обновени. Някои организации, включително правителството на Финландия и Камарата на представителите на Нидерландия, изключиха сайтовете си от интернет в сряда.
Изследователи от компанията за сигурност Calif са открили уязвимостите в PHP с помощта на модела GPT-5.6 Sol на OpenAI, посочват от OpenAI в изявление. (От Wiz, които също независимо са открили дефектите, заявиха, че също са използвали авангардни модели с изкуствен интелект за намирането им.)
„Предвид сериозността на тези дефекти и широкото използване на PHP, ние смятаме това за един от проблемите със сигурността с най-голямо въздействие в близкото минало“, заявиха от OpenAI. „Това подчертава как изкуственият интелект може да разкрива пропуски в сигурността с въздействие в мащаба на целия интернет, но същите тези възможности могат да помогнат на атакуващите бързо да разработват нападателни инструменти и експлойти.“
От OpenAI заявиха, че са координирали процеса по коригиране на уязвимостите с американски и чуждестранни правителствени агенции, включително Агенцията за киберсигурност и инфраструктурна сигурност (CISA) и Службата на националния кибердиректор към Белия дом.