Kort fortalt

  • PHP har sluppet 8.5.12, 8.4.27, 8.3.36 og 8.2.35 for å rette to kritiske feil.
  • Wiz og OpenAI beskriver bruk av KI-verktøy i oppdagelsen, testingen og responsen.
  • Forskerne har demonstrert angrepsveier; det er ikke det samme som bekreftede angrep hos ofre.

Fire utgaver retter feil i PHP-motoren

PHP-prosjektet har sluppet sikkerhetsutgavene 8.5.12, 8.4.27, 8.3.36 og 8.2.35. De tetter CVE-2026-109618 og CVE-2026-109619, to kritiske feil som ifølge prosjektet kan la uvedkommende kjøre kode på servere uten å logge inn.

Feilene gjelder håndtering av minne og intern tilstand mellom forespørsler. Advarselen omfatter PHP-installasjoner som behandler nettforespørsler, blant annet PHP-FPM og Apache med mod_php. PHP-prosjektet vurderer risikoen som høyest for mod_php: Der har forskere demonstrert en angrepsvei som virker før nettstedets egen programkode kjører.

Forskerne brukte flere KI-verktøy

Wiz opplyser at forskerne brukte Wiz Atlas, Gemini 4 Argon og GPT-5.6 Sol i sikkerhetsarbeidet. Selskapet beskriver demonstrasjoner mot blant annet WordPress, Drupal og Joomla. Feilene ligger i PHP-motoren, understreker Wiz, ikke bare i disse nettstedsprogrammene.

OpenAI beskriver den koordinerte responsen som del av initiativet Patch the Planet. Ifølge selskapet fant Calif én av feilene med GPT-5.6 Sol. Wiz oppdaget og rapporterte også begge feilene uavhengig. PHPs vedlikeholdere ledet rettingene og utgivelsene. OpenAI-kilden er lest i en arkivkopi fra 21. oktober 2026.

Demonstrasjonene er ikke belegg for angrep hos ofre

Bare en oppdatering gir en fullstendig løsning, opplyser PHP-prosjektet. De midlertidige tiltakene det beskriver, begrenser enkelte angrepsveier, men beskytter ikke mot alle variantene.

De leste kildene dokumenterer forskernes demonstrasjoner og de publiserte rettingene. De gir ikke grunnlag for å si at alle PHP-nettsteder er utnyttet, eller at 70 prosent av hele internett er bekreftet sårbart. Demonstrasjonene er heller ikke i seg selv belegg for angrep mot virkelige ofre.

Flere kilder

Kilder og åpenhet

Sammendraget bygger på opplysninger fra PHP-prosjektet, publisert 21. oktober 2026 · klokkeslett ikke oppgitt. Les kilden for alle detaljene og eventuelle senere oppdateringer.

Les originalkilden hos PHP-prosjektet

Vi har skrevet sammendraget med hjelp fra KI. Vi har ikke selv testet leverandørens påstander eller resultater. Bildet er en illustrasjon, ikke dokumentasjon av produktet eller hendelsen. Slik bruker vi kilder.