PHP — это серверный язык программирования, настолько широко используемый для веб-приложений, что он обеспечивает работу примерно 70% веб-сайтов в интернете; по некоторым оценкам, это более 33 миллионов сайтов. Он также используется популярными системами управления контентом, такими как WordPress.
Агентство национальной безопасности (АНБ) предупредило, что эти уязвимости настолько серьезны, что если веб-сайт не может быть немедленно исправлен, его следует отключить от сети до тех пор, пока это не станет возможным. Уязвимости позволяют злоумышленникам проникнуть в файловую систему сервера или в базу данных, которые могут использоваться веб-приложением.
Интересно, что эти уязвимости присутствовали во всех версиях PHP начиная с версии 5, выпущенной в 2004 году. Веб-сайтам, работающим не на относительно современных версиях PHP, предстоит провести обновление, поскольку PHP 8.1 и более ранние версии больше не поддерживаются. Рекомендуется обновить веб-сервер до текущей версии PHP, которой является 8.5.12.
Так как же две столь распространенные, многолетние уязвимости, затрагивающие почти каждый веб-сайт в интернете, внезапно стали известны? Естественно, благодаря ИИ, в частности OpenAI и Wiz от Google.
Компания по тестированию безопасности Calif участвовала в инициативе OpenAI «Patch the Planet» по поиску уязвимостей в программном обеспечении с открытым исходным кодом. Используя GPT‑5.6 Sol, она обнаружила одну из уязвимостей, о чем OpenAI сообщила в своем блоге. Отдельно команда Wiz также использовала ИИ, а именно свой агент безопасности Wiz Atlas, Gemini 4 Argon и GPT-5.6 Sol, для обнаружения множества уязвимостей в PHP.
Как OpenAI, так и Wiz следовали принципам ответственных исследований безопасности и работали с PHP над исправлениями до публичного раскрытия уязвимостей. Затем они совместно доработали обнаруженное и протестировали исправления, привлекая для помощи множество других сторон.
Wiz выразил благодарность Automattic, Akamai, AWS, Cloudflare, Fastly, Imperva, Microsoft и Vercel. (Хотя сайты WordPress используют PHP, WordPress выпустил заявление, в котором говорится, что уязвимость не специфична для WordPress, и сайты, использующие его CMS, должны исправить свои серверы и работать со своими хостинг-провайдерами, чтобы обеспечить защиту своих сайтов.)
OpenAI утверждает, что эти уязвимости были обнаружены исследователями до того, как их нашли хакеры. Поэтому сообщений об эксплуатации в реальных условиях не поступало. Отчасти это связано с тем, что до появления ИИ эти уязвимости было слишком сложно использовать хакерам. «С появлением ИИ это больше не является барьером. Большие языковые модели могут помочь адаптировать эксплойт к различным версиям PHP, конфигурациям и структурам памяти», — предупредил Wiz в своем блоге об уязвимостях.
Другими словами, это тот тип проблем безопасности, который был обнаружен и предотвращен благодаря ИИ, но который также представляет высокий риск только из-за ИИ.
Теперь, когда проблема раскрыта, хакеры полностью осведомлены. Начинается гонка за тем, чтобы интернет исправил десятки миллионов веб-сайтов до того, как хакеры смогут атаковать незащищенные. Отсюда и рекомендации АНБ: если вы не можете немедленно исправить свой PHP-сайт, лучше отключить его до тех пор, пока это не станет возможным.
Всегда имейте в виду, что редакции могут придерживаться предвзятых взглядов в освещении новостей.
Автор – Julie Bort
