Дві вади залишалися непоміченими в коді PHP майже двадцять років. Знайшла їх не команда security-інженерів, а нейромережа — точніше, дві, і кожна окремо. Компанія Wiz, що належить Google, спрямувала власного ІІ-агента на вихідний код PHP. Окрема фірма Calif отримала майже такий самий результат за допомогою моделі OpenAI GPT-5.6 на ім'я Sol. Обидві натрапили на одну й ту саму ваду — її назвали PHP2Shell і зареєстрували як CVE-2026-109618 та CVE-2026-109619.
Якщо просто: вада дозволяє віддалено виконати довільний код на чужому сервері без пароля й логіна — тобто повністю захопити сайт. PHP — мова, на якій працює приблизно сім із десяти сайтів із визначуваною мовою програмування у світі, включно з WordPress і тисячами державних порталів. У Wiz прямо написали, що знахідка «входить до числа найсерйозніших вразливостей в історії PHP і, мабуть, в історії софту загалом».
Wiz знайшла першу ваду 19 серпня, через п'ять днів повідомила команду PHP. Розробники мови тихо готували спільне виправлення разом із Cloudflare, AWS, Microsoft, Google Cloud, Automattic (власник WordPress.com), Fastly, Akamai, Imperva та Vercel — цей перелік натякає, яка частка інтернету залежала від патча. Публічний реліз планували на 22 жовтня, але 20 жовтня деталі витекли в мережу, і розробникам довелося випустити патч раніше — 21 жовтня о 14:00 за UTC, для версій 8.5.12, 8.4.27, 8.3.36, 8.2.35 та з бекпортами для 8.1, 8.0 і 7.4.
Поки патчі розходилися по серверах, кілька країн про всяк випадок вимкнули частину держсервісів. У Нідерландах лягли портал Overheid.nl, сайт футбольної федерації KNVB, сторінки найбільших партій і кількох лікарень. У Фінляндії оператор Valtori вивів з мережі державну мережу, у Франції на профілактику пішли сайти МВС, у Данії — платформа для шкіл Kombit, у Японії хостер Sakura Internet вимкнув частину функцій баз даних. Американська NSA видала рідкісне для себе публічне попередження, а «Вікіпедія» тимчасово зупинила частину своїх систем.
Ця історія цікава не так самою вадою, як тим, хто її знайшов. Дві компанії, два різні ІІ, одна й та сама знахідка — і це за місяці до того, як про вразливість дізнався хоч хтось із людей. Фахівці з безпеки тепер відкрито кажуть: якщо нейромережі навчилися відкопувати двадцятирічні дірки в коді, якому довіряє весь інтернет, ті самі інструменти раніше чи пізніше опиняться і в руках атакуючих — і тоді рахунок піде не на місяці, а на години.
