PHP2Shell, czyli AI znalazło krytyczne luki RCE w PHP

21 października zespół PHP wydał wersje 8.5.12, 8.4.27, 8.3.36 i 8.2.35, które łatają dwie krytyczne luki pozwalające na zdalne wykonanie kodu bez logowania: CVE-2026-109618 i CVE-2026-109619. Tego samego dnia Wiz Research opisał je jako PHP2Shell i ujawnił, że przy ich znalezieniu i napisaniu exploita pomagały modele Gemini 4 Argon i GPT-5.6 Sol.

Czym jest PHP2Shell?

PHP2Shell to dwie luki w samym silniku PHP, nie w żadnej konkretnej aplikacji. Obie dostały ocenę CVSS 9.2. Według komunikatu na php.net:

1. CVE-2026-109618 dotyczy obsługi braku pamięci (OOM). Błąd może przerwać PHP, gdy wewnętrzne dane żądania są zainicjowane tylko częściowo, a sprzątanie po żądaniu potraktuje je potem jak poprawne.
2. CVE-2026-109619 to tzw. „stary stan globalny”: wewnętrzny stan żądania może przetrwać zwolnienie pamięci, a kolejne żądanie obsługiwane przez ten sam proces może go użyć.

Zagrożone są wszystkie instalacje PHP obsługujące ruch WWW: PHP-FPM, Apache z mod_php, php-cgi, FrankenPHP i LiteSpeed. Najgorzej jest z mod_php, bo tam pokazano exploit, w którym żądanie bez logowania uruchamia atak zanim wykona się jakikolwiek kod aplikacji.

Według Wiz podatny kod był w PHP od ponad dekady, a problem dotyczy wersji aż od PHP 5.4. Badacze pokazali zdalne wykonanie kodu na najnowszych obrazach Dockera z WordPressem, Drupalem i Joomlą.

Jaką rolę w odkryciu PHP2Shell odegrało AI?

Wiz pisze, że przez całe badanie używał głównie swojego narzędzia Wiz Atlas oraz modeli Gemini 4 Argon i GPT-5.6 Sol, a Gemini 4 Argon pomógł przy znalezieniu luki, napisaniu exploita, wykrywaniu ataku i sprawdzeniu poprawki. Oś czasu z wpisu Wiz wygląda tak:

1. 19 sierpnia 2026 Wiz znajduje pierwszą lukę.
2. 20 sierpnia potwierdza zdalne wykonanie kodu na Drupalu.
3. 21 sierpnia to samo na WordPressie.

Czyli od znalezienia błędu do działającego ataku na WordPressa minęły dwa dni. Wiz tłumaczy, że luki istniały od dawna, a pokazanie, że da się je wykorzystać, wymagało bardzo złożonego łańcucha kroków, ale modele AI „substantially reduced that barrier, turning a longstanding flaw into an exploit”. Raluca Ada Popa, szefowa bezpieczeństwa Gemini w Google DeepMind, skomentowała to, mówiąc, że Wiz pokazał, „why frontier AI is a game-changer for cyber defense”.

Nie tylko Google. Według heise pierwszym zespołem był Calif, który robił audyt kodu z PHP Ecosystem Security Team w ramach inicjatywy OpenAI „Patch the Planet”. Wiz i OpenAI odtworzyli luki z pomocą LLM-ów i pomogli przejrzeć poprawkę.

Dlaczego jest o tym głośno?

Po pierwsze, skala. Na PHP działają WordPress, Drupal i Joomla, a luka uruchamia się przed kodem aplikacji. Zapowiedź poprawki na liście php.announce zebrała na Hacker News ponad 1300 punktów, zanim jeszcze pojawiły się szczegóły.

Po drugie, wyciek. Według heise publikacja miała nastąpić 22 października, ale przyspieszono ją o dzień, bo informacje wyciekły. SecurityWeek podaje, że watchTowr odtworzył CVE-2026-109618 jeszcze przed poprawkami, a Sansec przewiduje, że masowe ataki zaczną się „within 15 minutes of the patch release”. Na razie watchTowr i Huntress nie widziały wykorzystania luk w realnych atakach.

Po trzecie, kierunek. Tak jak przy Claude Mythos w Bank of America, modele AI znajdują poważne błędy szybciej, niż ludzie zdążają je łatać. Tyle że te same narzędzia mają też atakujący, co dobrze pokazał atak hakerski AI na platformie Cairn.

Co zrobić, jeśli mamy PHP?

1. Zaktualizujmy PHP do 8.5.12, 8.4.27, 8.3.36 albo 8.2.35. Według php.net i Wiz to jedyna pełna ochrona.
2. Starsze gałęzie 7.4, 8.0 i 8.1 mają według heise dostać backporty, a dystrybucje Linuksa mają wydać pakiety w ciągu kilku godzin.
3. Przy Dockerze trzeba pobrać nowy obraz i zrestartować kontener.
4. Sprawdźmy też sprzęt z panelem WWW w PHP: NAS-y, routery, appliance’y (heise wymienia m.in. pfSense, QNAP i Synology).
5. Do czasu aktualizacji pomagają reguły WAF od Cloudflare, Akamai czy AWS, ale zespół PHP nazywa obejścia w konfiguracji „a temporary crutch”.

(na hostingu współdzielonym zapytaj dostawcę, kiedy zainstaluje poprawki)

FAQ

Czy PHP2Shell dotyczy WordPressa?

Tak. Wiz pokazał zdalne wykonanie kodu na najnowszym obrazie wordpress:latest, a także na Drupalu i Joomli. Luka siedzi w PHP, więc pomaga aktualizacja PHP, nie samego WordPressa.

Które wersje PHP są bezpieczne?

PHP 8.5.12, 8.4.27, 8.3.36 i 8.2.35 z 21 października 2026 oraz nowsze. Starsze wersje trzeba traktować jako podatne.

Czy luki są już wykorzystywane?

Według SecurityWeek watchTowr i Huntress nie widziały ataków w realnym świecie, ale szczegóły wyciekły przed publikacją, a Sansec spodziewa się masowych ataków tuż po wydaniu poprawek.

Kto znalazł PHP2Shell?

Według heise pierwszy był zespół Calif w ramach „Patch the Planet” od OpenAI. Wiz Research opisał luki pod nazwą PHP2Shell i znalazł je z pomocą Gemini 4 Argon i GPT-5.6 Sol.