• OpenAI предупредила о новых опасных пробелах в языке PHP.
  • Уязвимости CVE-2026-109618 и CVE-2026-109619 выявили с помощью ИИ и независимого исследования Wiz.
  • Они затрагивают язык программирования PHP.
  • OpenAI призвала администраторов установить исправления и представила подход к координации реагирования на критические уязвимости в эпоху ИИ.

Компания OpenAI сообщила об обнаружении и устранении двух критических уязвимостей в PHP в рамках инициативы Patch the Planet. По данным компании, Calif обнаружила одну из них с помощью модели GPT-5.6 Sol, а специалисты Wiz независимо нашли обе проблемы. Сопровождающие PHP возглавили работу над исправлениями, к которой также присоединились OpenAI, Wiz и Cloudflare.

Исправления для уязвимостей выпустили 21 октября 2026 года. В то же время, по сообщению CZ, подробности о них преждевременно попали в сеть, а использование уязвимостей в реальных атаках подтвердили почти сразу после раскрытия информации.

OpenAI призвала администраторов обновить PHP

OpenAI подчеркнула, что для организаций, которые используют PHP, первоочередной задачей является установка исправлений. Компания также опубликовала средство проверки версии PHP в формате навыка Codex. Оно помогает администраторам определить потенциально уязвимые версии и выяснить, какие обновления нужны.

По данным CZ, уязвимости могут представлять угрозу для серверов, на которых работают распространенные платформы, в частности WordPress и Magento. Для защиты систем ИТ-команды начали внедрять правила на уровне межсетевых экранов веб-приложений (WAF) и устанавливать обновления.

OpenAI назвала этот случай одним из самых масштабных инцидентов безопасности последнего времени из-за серьезности уязвимостей и распространенности PHP. Компания также отметила, что, насколько ей известно, передовые модели ИИ выявили проблемы раньше злоумышленников. Это дало разработчикам и поставщикам средств безопасности время для подготовки исправлений и защитных мер до обнародования информации, говорится в заявлении.

В то же время в OpenAI предупредили, что такие возможности ИИ могут использовать и злоумышленники для быстрого создания инструментов атак и эксплойтов.

На основе опыта работы с PHP OpenAI представила подход к координации реагирования на критические уязвимости в распространенном программном обеспечении. Он предусматривает пять основных этапов:

  • подтверждение уязвимости и подготовка исправления. Сопровождающие, исследователи и технические партнеры оценивают влияние проблемы, разрабатывают обновление и проверяют его устойчивость к попыткам обхода;
  • заблаговременное информирование организаций. Команды, которым нужно время на подготовку, могут получить информацию до публичного раскрытия. Например, дистрибьюторы смогут адаптировать исправление для более старых версий, а поставщики услуг — протестировать средства защиты;
  • координация с государственными партнерами. Они помогают распространять рекомендации среди организаций, ответственных за критическую инфраструктуру и жизненно важные услуги.
  • подготовка обновлений для уязвимых продуктов. К работе привлекают дистрибьюторов, хостинг-провайдеров, поставщиков услуг и команды реагирования;
  • публикация рекомендаций и поддержка внедрения. После выпуска исправлений администраторы получают инструкции по обновлению, временные меры защиты и рекомендации по проверке систем.

OpenAI отметила, что сроки реагирования нужно корректировать, если появляются признаки активной эксплуатации, происходит утечка информации или задержка с исправлением повышает риски для пользователей.

В рамках Patch the Planet компания также привлекает государственные ведомства по кибербезопасности и помогает координировать защиту уязвимых систем. Отдельно OpenAI объявила о намерении предоставить субсидированный доступ к Daybreak на $1 млрд через программу Daybreak for Frontline Defenders. Она предназначена для организаций, которые защищают жизненно важные услуги, но имеют ограниченные ресурсы для обеспечения безопасности.

Напомним, ранее ИИ от OpenAI использовал чужой криптовалютный кошелек для развертывания смартконтрактов.

Сообщение OpenAI сообщила о двух критических уязвимостях в PHP появились сначала на INCRYPTED.