To hull, én hasteutgivelse
PHP-prosjektet slapp fire hasteversjoner 21. oktober — 8.5.12, 8.4.27, 8.3.36 og 8.2.35 — som retter to sårbarheter med CVSS v4.0-basisverdi 9,2 hver, og som kan gi fjernkjøring av kode uten innlogging. Vedlikeholderne publiserte samtidig et varsel som ber driftsansvarlige oppdatere umiddelbart.
Den første, CVE-2026-109618, er en minnehåndteringsfeil. PHP bruker longjmp() for å forlate gjeldende kontekst når minnet tar slutt, og varselet beskriver tilfeller der forespørselsminne er nåbart før det er fullt initialisert. Hvis en allokering feiler akkurat da, etterlater den tidlige utgangen minnet ugyldig, og nedstengingen av forespørselen kan lese eller forgrene seg på det. Varselet sier at en angriper kan nå veien via multipart-tolkning — en manglende content-length-hode, for mange delhoder, eller mange tomme filkontroller med nøstede feltnavn — og at det kan føre til fjernkjøring av kode under webprosessens konto.
Den andre, CVE-2026-109619, er en feil med gjenværende tilstand: intern tilstand som eies av én forespørsel kan overleve etter at minnet er frigjort, slik at en senere forespørsel i samme prosess kan følge de hengende referansene.
PHP-varselet sier at risikoen er størst for mod_php, men at alle webtjenende installasjoner er berørt, og nevner PHP-FPM, php-cgi, FrankenPHP og LiteSpeed. GitHub-varselet er mer presist om hvor langt arbeidet kom: mod_php og FrankenPHP beskrives som mest direkte utsatt, mens FPM vurderes som utsatt ut fra kildekodeanalyse uten at en komplett utnyttelse er demonstrert.
Der KI-en kommer inn
OpenAI publiserte sin egen framstilling samme dag. I et innlegg om det selskapet kaller Patch the Planet sier selskapet at sikkerhetsfirmaet Calif identifiserte et kritisk hull ved hjelp av GPT‑5.6 Sol, og at Wiz uavhengig oppdaget og rapporterte begge sårbarhetene. PHPs vedlikeholdere ledet rettingene og utgivelsen.
Kreditlisten i GitHub-varselet stemmer med den framstillingen: den navngir fire rapportører, blant dem brukernavn som slutter på -wiz og -oai, og fire PHP-utviklere som bygde løsningen.
OpenAIs innramming er at bransjen var heldig med tidspunktet. «Så vidt vi vet fant frontier-KI disse sårbarhetene før angriperne», skriver selskapet, «og åpnet et forsvarervindu der vedlikeholdere og sikkerhetsleverandører kunne forberede rettinger og beskyttelse før offentliggjøringen». Selskapet kaller paret «et av de mest betydningsfulle sikkerhetsproblemene i nyere tid» gitt PHPs utbredelse, og sier det venter at slike funn vil «øke kraftig i månedene som kommer». Sammen med innlegget lovet det én milliard dollar i subsidiert tilgang til sikkerhetsproduktet Daybreak for organisasjoner med små sikkerhetsressurser, og sa at det hadde kontaktet Det hvite hus’ Super Intelligence Force, Office of the National Cyber Director og CISA før offentliggjøringen.
Cloudflares versjon er mindre behagelig
Cloudflare, som deltok i den samme samordnede responsen, ga paret et navn — php2shell — og publiserte sin egen gjennomgang der det heter at enhver webtjener som kjører PHP 5.4 eller nyere er berørt. Selskapet sier det begynte å bygge brannmurregler for webapplikasjoner tidlig i oktober og slo dem på omtrent ni timer før offentliggjøringen, med gratis- og betalplaner beskyttet som standard fra 03:02 UTC 21. oktober.
Det sier også at det ser angrepstrafikk mot kundene sine, og at angripere endret nyttelastene for å prøve å unngå reglene, mens analytikerne fulgte treffvolumene for å spore mutasjonene. Det motsier ikke OpenAIs påstand om at forsvarerne fant feilene først, men det snevrer vinduet betydelig: om morgenen på offentliggjøringsdagen prøvde noen allerede.
Hva driftsansvarlige må gjøre
Å oppdatere er den eneste fullstendige rettingen. PHP-varselet lister midlertidige tiltak — å sette memory_limit=-1 via php_admin_value framfor ini_set(), senke post_max_size, slå av session.upload_progress og på 8.5 sette fatal_error_backtraces=0 — og er tydelig på at ingen av dem gjør installasjonen trygg. Det advarer også mot RLIMIT_AS og RLIMIT_DATA, som kan utløse den sårbare veien.
PHP 8.1 og eldre får ikke lenger oppdateringer oppstrøms, så de som kjører de grenene er avhengige av en tilbakeport fra distribusjonen sin. Linux-distribusjoner og leverandører med langtidsstøtte fikk rettingene på forhånd. PHP 8.2 når selv slutten av levetiden 31. desember 2026.
Cloudflare viser til W3Techs for tallet om at PHP kjører på nesten 70 prosent av alle nettsteder. Tallet å følge de neste to ukene er ikke alvorlighetsgraden, men lappetakten i delt webhotell, der den som installerer rettingen sjelden er den som eier nettstedet.
