To huller, én hasteudgivelse
PHP-projektet udsendte fire hasteversioner den 21. oktober — 8.5.12, 8.4.27, 8.3.36 og 8.2.35 — der retter to sårbarheder med hver en CVSS v4.0-basisværdi på 9,2, og som kan give fjernkørsel af kode uden login. Vedligeholderne udsendte samtidig en advarsel, der beder driftsansvarlige om at opdatere straks.
Den første, CVE-2026-109618, er en fejl i hukommelseshåndteringen. PHP bruger longjmp() til at forlade den aktuelle kontekst, når hukommelsen slipper op, og advarslen beskriver tilfælde, hvor forespørgselshukommelse kan nås, før den er fuldt initialiseret. Hvis en allokering fejler netop da, efterlader den tidlige udgang hukommelsen ugyldig, og nedlukningen af forespørgslen kan læse eller forgrene sig på den. Advarslen siger, at en angriber kan nå vejen via multipart-fortolkning — et manglende content-length-hoved, for mange delhoveder, eller mange tomme filkontroller med indlejrede feltnavne — og at det kan føre til fjernkørsel af kode under webprocessens konto.
Den anden, CVE-2026-109619, er en fejl med efterladt tilstand: intern tilstand, der ejes af én forespørgsel, kan overleve, efter at dens hukommelse er frigivet, så en senere forespørgsel i samme proces kan følge de hængende referencer.
PHP’s advarsel siger, at risikoen er størst for mod_php, men at alle webserverende installationer er berørt, og nævner PHP-FPM, php-cgi, FrankenPHP og LiteSpeed. GitHub-advarslen er mere præcis om, hvor langt arbejdet nåede: mod_php og FrankenPHP beskrives som de mest direkte udsatte, mens FPM vurderes udsat ud fra kildekodeanalyse, uden at en komplet udnyttelse er påvist.
Der hvor AI’en kommer ind
OpenAI udsendte sin egen beretning samme dag. I et indlæg om det, selskabet kalder Patch the Planet, siger virksomheden, at sikkerhedsfirmaet Calif identificerede et kritisk hul med GPT‑5.6 Sol, og at Wiz uafhængigt opdagede og rapporterede begge sårbarheder. PHP’s vedligeholdere stod i spidsen for rettelserne og udgivelsen.
Kreditlisten i GitHub-advarslen stemmer med den beretning: den nævner fire rapportører, heriblandt brugernavne, der ender på -wiz og -oai, og fire PHP-udviklere, der byggede løsningen.
OpenAI’s indramning er, at branchen var heldig med timingen. »Så vidt vi ved, fandt frontier-AI disse sårbarheder før angriberne«, skriver selskabet, »og åbnede et forsvarervindue, hvor vedligeholdere og sikkerhedsleverandører kunne forberede rettelser og beskyttelse inden offentliggørelsen«. Selskabet kalder parret »et af de mest betydningsfulde sikkerhedsproblemer i nyere tid« i lyset af PHP’s udbredelse og siger, at det venter, at sådanne fund vil »stige kraftigt i de kommende måneder«. Sammen med indlægget lovede det en milliard dollars i støttet adgang til sikkerhedsproduktet Daybreak til organisationer med få sikkerhedsressourcer, og oplyste, at det havde kontaktet Det Hvide Hus’ Super Intelligence Force, Office of the National Cyber Director og CISA inden offentliggørelsen.
Cloudflares version er mindre behagelig
Cloudflare, der deltog i den samme koordinerede indsats, gav parret et navn — php2shell — og udgav sin egen gennemgang, hvor det hedder, at enhver webserver, der kører PHP 5.4 eller nyere, er berørt. Selskabet siger, at det begyndte at bygge firewallregler til webapplikationer i begyndelsen af oktober og slog dem til omkring ni timer før den offentlige disclosure, med gratis- og betalingsplaner beskyttet som standard fra klokken 03.02 UTC den 21. oktober.
Det siger også, at det ser angrebstrafik mod sine kunder, og at angribere ændrede deres nyttelast for at forsøge at undgå reglerne, mens analytikerne fulgte træfmængderne for at spore mutationerne. Det modsiger ikke OpenAI’s påstand om, at forsvarerne fandt fejlene først, men det indsnævrer vinduet betydeligt: om morgenen på offentliggørelsesdagen forsøgte nogen allerede.
Hvad driftsansvarlige skal gøre
At opdatere er den eneste fuldstændige rettelse. PHP’s advarsel opregner midlertidige tiltag — at sætte memory_limit=-1 via php_admin_value frem for ini_set(), sænke post_max_size, slå session.upload_progress fra og på 8.5 sætte fatal_error_backtraces=0 — og er udtrykkelig om, at ingen af dem gør installationen sikker. Den advarer også mod RLIMIT_AS og RLIMIT_DATA, som kan udløse den sårbare vej.
PHP 8.1 og ældre får ikke længere opdateringer opstrøms, så de, der kører de grene, er afhængige af en tilbageportering fra deres distribution. Linux-distributioner og leverandører med langtidssupport fik rettelser på forhånd. PHP 8.2 når selv enden på sin levetid den 31. december 2026.
Cloudflare henviser til W3Techs for tallet om, at PHP kører på næsten 70 procent af alle websteder. Det tal, man skal holde øje med de næste fjorten dage, er ikke alvorlighedsgraden, men lappetempoet på delt webhotel, hvor den, der installerer rettelsen, sjældent er den, der ejer sitet.
