Zespół Wiz Research odkrył grupę krytycznych podatności w jądrze języka PHP, znanych jako PHP2Shell. Problemy te dotyczą mechanizmów zarządzania pamięcią podczas obsługi błędów krytycznych, takich jak błędy braku pamięci (out-of-memory). Skutkuje to możliwością zdalnego wykonania kodu (RCE) bez uwierzytelnienia oraz wyciekiem wrażliwych danych z pamięci procesów, takich jak hasła, tokeny API czy certyfikaty.
Podatności są niezwykle niebezpieczne, ponieważ nie wynikają z błędów w konkretnych aplikacjach, lecz z samego interpretera. Oznacza to, że nawet proste skrypty są zagrożone. Problem dotyczy niemal wszystkich wersji PHP wydanych w ciągu ostatniej dekady, począwszy od wersji 5.4. Wykorzystanie tych luk wymagało skomplikowanego łańcucha błędów, który został opracowany przy użyciu zaawansowanych modeli AI.
Skutki mogą być katastrofalne dla ogromnej części sieci, gdyż PHP napędza m.in. WordPressa, Joomlę, Drupala oraz Wikipedię. Atakujący mogą przejąć kontrolę nad serwerami, kraść dane lub zmieniać zawartość stron. Eksperci podkreślają, że AI znacząco obniżyło próg wejścia dla tworzenia takich exploitów, czyniąc dawniej trudne do wykorzystania błędy realnym zagrożeniem.
Aby się chronić, niezbędna jest natychmiastowa aktualizacja PHP do wersji zawierającej poprawki wydane 21 października 2026 roku. Poprawka ta eliminuje błędy w zarządzaniu stanem wewnętrznym silnika i zabezpiecza przed wszystkimi zidentyfikowanymi wariantami problemu.
