Na příčinu chyb PHP2Shell, připisovaných modelům, narazil vývojář PHP už v roce 2024

OpenAI napsala 21. října v oznámení programu Patch the Planet, že dvě kritické chyby v jádru PHP našla bezpečnostní firma Calif „using GPT‑5.6 Sol“, tedy s modelem OpenAI. Firma Wiz je podle téhož textu objevila nezávisle. OpenAI chyby označila za „one of the most impactful security issues in recent memory“ a dodala, že je podle jejích informací našla umělá inteligence dřív než útočníci.

Chyby mají čísla CVE-2026-109618 a CVE-2026-109619, obě se známkou 9,2 a s přezdívkou PHP2Shell. Za určitých podmínek dovolí spustit na serveru kód bez přihlášení. Jak fungují, rozebral tech-blog, co s nimi udělaly české hostingy, magazin.chatujme.cz. Tenhle text sleduje jinou otázku: kdo chybu našel a jakou roli v tom měly modely.

Nadace PHP datuje první stopu do auditu z roku 2024

Nadace PHP zveřejnila týž den vlastní časovou osu. V roce 2024 prošlo PHP prvním vnějším bezpečnostním auditem po letech. Zaplatila ho německá Sovereign Tech Agency, zorganizoval OSTIF a provedla firma Quarkslab. Při opravě jedné z nalezených chyb narazil vývojář jádra placený nadací na „the first signs of the OOM problem behind CVE-2026-109618“, tedy na první náznaky problému s docházející pamětí. Možný útok tehdy podle nadace existoval jen v teorii, konkrétní cestu k němu nikdo nenašel.

Bezpečnostní tým PHP pak připravil několik soupeřících oprav. Každá měla háček: rozbíjela zpětnou kompatibilitu, otevírala nový způsob, jak server zahltit, nebo vyžadovala změny v mnoha rozšířeních od jiných autorů. Tým rozhoduje shodou a mezi variantami nevybral, takže se práce podle nadace měsíce zastavovala a začínala znovu. Nadace to sama nazývá „a structural failure“ a viní z něj rozhodovací postup týmu i nedostatek lidí.

Zlom podle nadace přišel v létě. Calif začal PHP prověřovat 30. července v rámci programu Patch the Planet, do kterého projekt přihlásila sama nadace. Jedenáctého srpna nahlásil výzkumník Ryan A. z Calif vzdálené spuštění kódu bez jakýchkoli podmínek, se stejnou příčinou jako problém z roku 2024. OpenAI stejnou příčinu nahlásila nezávisle, další cesty k útoku přidal Wiz 24. srpna a OpenAI 18. září. Teprve tahle hlášení podle nadace ukázala, jak vážný problém je, a od 11. srpna měla oprava u nadace přednost před vším ostatním.

Oznámení jmenují různé modely

Oficiální oznámení OpenAI rok 2024 nezmiňuje. Prezident firmy Greg Brockman ho podle Mashable uvedl na síti X: chyba byla v PHP čtrnáct let, v roce 2024 se našla její menší podoba, kterou tehdy nikdo nebral jako vážnou. Calif podle Brockmana našel jednu podobu chyby v srpnu a tým OpenAI úplnější v září.

Rozbor Wiz nese titulek „AI uncovers critical RCE vulnerabilities“ a o roce 2024 nepíše taky. Wiz pracoval s vlastním nástrojem Wiz Atlas a s modely Gemini 4 Argon a GPT-5.6 Sol, přičemž zvlášť velký podíl na nalezení chyby přisuzuje modelu Googlu. Gemini 4 Argon je model, který Google zatím pouští jen k vybraným obráncům sítí. Do rozboru Wiz přispěla citací i šéfka bezpečnosti Gemini v Google DeepMind Raluca Ada Popa. Oznámení OpenAI model Googlu nejmenuje.

Vlastní časová osa Wiz začíná 19. srpna, kdy podle firmy našel první chybu, tedy osm dní po hlášení Calif. Správcům ji poslal 24. srpna a u 21. září píše, že PHP hlášení potvrdilo a začalo připravovat koordinovanou opravu. Nadace přitom uvádí, že na opravě s nejvyšší prioritou pracovala od 11. srpna. Oba údaje platit můžou, jen každý popisuje jiný okamžik, a ani jeden zdroj ten rozdíl nevysvětluje.

Třetí laboratoř zmiňuje jen nadace. Letos s organizací Alpha-Omega prověřovala PHP modelem Claude Mythos od Anthropicu. Co ten průchod našel a jestli se týkal chyb PHP2Shell, neuvádí.

Záznamy CVE jmenují firmy, ne modely

Záznamy CVE vydala skupina PHP sama, protože čísla pro php-src přiděluje od roku 2019. U CVE-2026-109618 vedou jako ohlašovatele „Ryan at Calif.io“ a Wiz, OpenAI stojí v kolonce nálezce. U CVE-2026-109619 jsou všichni tři ohlašovatelé. Hlášení GHSA-w8hw-w9fx-j79w a GHSA-6wmf-4rv5-p3rp na GitHubu uvádějí čtyři účty ohlašovatelů, mezi nimi amyb-oai, a čtyři autory opravy. Žádný model v nich nestojí.

Jméno od OpenAI je v poděkování nadace: Amy Burnett z týmu Codex Security. Nadace děkuje i OpenAI a Anthropicu za přístup k nástrojům a za peníze na část bezpečnostní práce.

Modely správcům hlášení přidávají i ubírají

Nadace v textu z 21. října připouští, že výzkum s pomocí AI zvedl počet hlášení. V článku ze 14. října to vyčíslil Alexandre Daubois z bezpečnostního týmu: od 1. července tým vydal 15 CVE a zavřel 106 hlášení, která nebyla zranitelností, byla duplicitní nebo nešla zopakovat. Hlášení se podle něj díky nástrojům AI píšou mnohem levněji a neověřený výstup modelu zabere týmu stejně času jako skutečná chyba.

Tým modely používá i sám. Od OpenAI dostal přístup k Daybreak Red, nejvyšší úrovni jejího programu pro obránce. Model mu pomáhá ověřit, jestli hlášený útok opravdu funguje, a seskupit hlášení se společnou příčinou. O závažnosti a o každé opravě podle Dauboise rozhoduje člověk.

Wiz roli modelů popisuje silněji. Chyba podle něj ležela v kódu přes deset let a AI změnila schopnost udělat z ní funkční útok. Jeden výzkumník s modely měl za týden hotovo to, na co by dřív „a world-class team“ potřeboval měsíce. Časová osa nadace k tomu přidává jen jedno: příčinu lidé znali, chyběl jim doklad, že se dá zneužít.

Únik zkrátil přípravu o den

Koordinované zveřejnění podle nadace fungovalo do 20. října. Kolem 17. hodiny našeho času se po fórech a sítích začala šířit obě čísla CVE s chybnou známkou 10,0. PHP vydání posunulo z 22. na 21. října na 16. hodinu. Calif kolem 22. hodiny omylem zveřejnil video, na kterém jeho útok běžel proti řadě cílů, a kopie smazaného videa podle nadace urychlily vznik dalších ukázkových útoků. Firma Chainguard 21. října v 9.41 vydala obrazy s opravou dřív, než skončilo embargo. Funkční útok tým PHP v okamžiku vydání podle svých slov nenašel.

OpenAI k případu přidala návrh postupu pro chyby, které najdou modely. Má pět kroků od ověření opravy po pomoc s nasazením. Vybrané organizace by předem dostaly informace podle toho, co mají chránit, od záznamů o napadení až po funkční ukázku útoku. OpenAI se zároveň ptá, jestli by vlády a další provozovatelé měli chybou záplatovat systémy, které vlastní nebo smějí spravovat, když k nim ztratili správcovský přístup. Na dotovaný přístup obránců k programu Daybreak vyčlenila miliardu dolarů.

Zdroje

• The PHP Foundation: časová osa chyb, úniku a opravy (21. 10. 2026)
• The PHP Foundation: jak bezpečnostní tým vyřizuje hlášení (14. 10. 2026)
• OpenAI: Patch the Planet a návrh koordinace
• Wiz Research: rozbor PHP2Shell a časová osa hlášení
• Záznam CVE-2026-109618 a CVE-2026-109619
• Mashable: výroky Grega Brockmana