Två hål, en akut släppning
PHP-projektet släppte fyra akuta versioner den 21 oktober — 8.5.12, 8.4.27, 8.3.36 och 8.2.35 — som rättar två sårbarheter med vardera CVSS v4.0-basvärdet 9.2 och som kan ge fjärrkörning av kod utan inloggning. Underhållarna publicerade samtidigt en rådgivning som uppmanar driftansvariga att uppdatera omedelbart.
Den första, CVE-2026-109618, är en minneshanteringsbugg. PHP använder longjmp() för att lämna det aktuella sammanhanget när minnet tar slut, och rådgivningen beskriver fall där förfrågningsminne går att nå innan det är fullt initierat. Om en allokering misslyckas just då lämnar den tidiga utgången minnet ogiltigt, och nedstängningen av förfrågan kan läsa eller grena på det. Rådgivningen säger att en angripare kan nå vägen via multipart-tolkning — en saknad content-length-rubrik, ett överskott av delrubriker, eller många tomma filkontroller med nästlade fältnamn — och att det kan leda till fjärrkörning av kod under webbprocessens konto.
Den andra, CVE-2026-109619, är en bugg med kvarlämnat tillstånd: internt tillstånd som ägs av en förfrågan kan överleva efter att dess minne frigjorts, så att en senare förfrågan i samma process kan följa de hängande referenserna.
PHP:s rådgivning säger att risken är störst för mod_php, men att alla webbserverande installationer berörs, och nämner PHP-FPM, php-cgi, FrankenPHP och LiteSpeed. GitHub-rådgivningen är mer precis om hur långt arbetet kom: mod_php och FrankenPHP beskrivs som mest direkt mottagliga, medan FPM bedöms mottagligt utifrån källkodsanalys utan att en komplett exploit har visats.
Där AI:n kommer in
OpenAI publicerade sin egen redogörelse samma dag. I ett inlägg om det bolaget kallar Patch the Planet säger företaget att säkerhetsfirman Calif identifierade ett kritiskt hål med GPT‑5.6 Sol, och att Wiz oberoende upptäckte och rapporterade båda sårbarheterna. PHP:s underhållare ledde rättningarna och släppet.
Creditlistan i GitHub-rådgivningen stämmer med den berättelsen: den namnger fyra rapportörer, däribland handtag som slutar på -wiz och -oai, och fyra PHP-utvecklare som byggde åtgärden.
OpenAI:s inramning är att branschen hade tur med tidpunkten. “Såvitt vi vet hittade frontier-AI dessa sårbarheter före angriparna”, skriver företaget, “vilket öppnade ett försvararfönster för underhållare och säkerhetsleverantörer att förbereda rättningar och skydd före offentliggörandet”. Bolaget kallar paret “ett av de mest betydelsefulla säkerhetsproblemen på senare tid” givet PHP:s spridning, och säger sig vänta att liknande fynd “ökar kraftigt de närmaste månaderna”. Tillsammans med inlägget utlovade det 1 miljard dollar i subventionerad tillgång till säkerhetsprodukten Daybreak för organisationer med små säkerhetsresurser, och uppgav att det kontaktat Vita husets Super Intelligence Force, Office of the National Cyber Director och CISA före offentliggörandet.
Cloudflares version är obekvämare
Cloudflare, som deltog i samma samordnade svar, gav paret ett namn — php2shell — och publicerade sin egen genomgång där det sägs att varje webbserver som kör PHP 5.4 eller senare berörs. Företaget säger att det började bygga brandväggsregler för webbapplikationer i början av oktober och slog på dem ungefär nio timmar före offentliggörandet, med gratis- och betalplaner skyddade som standard från 03:02 UTC den 21 oktober.
Det säger också att det ser angreppstrafik mot sina kunder, och att angripare ändrade sina nyttolaster för att försöka undvika reglerna, medan analytikerna följde träffvolymerna för att spåra mutationerna. Det motsäger inte OpenAI:s påstående att försvararna hittade buggarna först, men det krymper fönstret rejält: på morgonen för offentliggörandet försökte någon redan.
Vad driftansvariga måste göra
Att uppdatera är den enda fullständiga åtgärden. PHP:s rådgivning listar tillfälliga åtgärder — att sätta memory_limit=-1 via php_admin_value i stället för ini_set(), sänka post_max_size, stänga av session.upload_progress och på 8.5 sätta fatal_error_backtraces=0 — och är tydlig med att ingen av dem gör installationen säker. Den varnar också för RLIMIT_AS och RLIMIT_DATA, som kan utlösa den sårbara vägen.
PHP 8.1 och äldre får inte längre uppdateringar uppströms, så den som kör de grenarna är beroende av en backport från sin distribution. Linuxdistributioner och leverantörer med långtidsstöd fick rättningar i förväg. PHP 8.2 når själv slutet av sin livscykel den 31 december 2026.
Cloudflare hänvisar till W3Techs för uppgiften att PHP körs på nästan 70 procent av alla webbplatser. Siffran att hålla ögonen på de kommande två veckorna är inte allvarlighetsgraden utan lappningstakten i delat webbhotell, där den som installerar rättningen sällan är den som äger sajten.
