ИИ раскрывает критические уязвимости PHP десятилетней давности, вызывая срочную глобальную реакцию по безопасности веба

Image: TechCrunch · Source

Инструменты на базе ИИ от OpenAI и Google выявили серьёзные уязвимости в безопасности PHP, существовавшие с 2004 года, что привело к скоординированной реакции крупных технологических компаний и срочным рекомендациям по исправлению от NSA для защиты миллионов сайтов.

21 октября 2026 года Агентство национальной безопасности США (NSA) выпустило серьёзное предупреждение относительно двух критических уязвимостей в PHP — преобладающем языке программирования на стороне сервера, который поддерживает примерно 70% сайтов в мире, включая множество работающих на популярных системах управления контентом, таких как WordPress. Уязвимости, позволяющие злоумышленникам получить доступ к файловой системе или базам данных поражённых веб-серверов, восходят к версии PHP 5, выпущенной в 2004 году, что означает, что бесчисленные сайты могли быть потенциально подвержены риску почти два десятилетия.

Фонд PHP уже выпустил патчи, исправляющие эти дефекты, с твёрдым рекомендацией NSA о том, что любой сайт, не способный немедленно применить эти обновления, следует временно отключить для предотвращения эксплуатации. Следует отметить, что версии старше PHP 8.1 больше не поддерживаются, поэтому обновление до PHP 8.5.12 или новее критически необходимо для безопасности.

Крайне важно, что эти долго скрывавшиеся уязвимости были выявлены благодаря достижениям в области искусственного интеллекта. Инициатива OpenAI «Patch the Planet», использующая модель GPT-5.6 Sol, обнаружила одну из таких уязвимостей. Одновременно компания по безопасности Wiz применяла свои AI-инструменты, включая агента безопасности Wiz Atlas, Gemini 4 Argon и GPT-5.6 Sol, чтобы выявить несколько дополнительных уязвимостей в PHP.

OpenAI и Wiz строго следовали протоколам ответственного раскрытия, тесно сотрудничая с Фондом PHP для разработки и проверки патчей до публичного анонса. Усердие расширилось до широкой коалиции, включающей технологических лидеров, таких как Automattic, Akamai, AWS, Cloudflare, Fastly, Imperva, Microsoft и Vercel, обеспечивая быструю оценку и распространение исправлений. Хотя сайты WordPress используют PHP, сама команда WordPress пояснила, что уязвимости не связаны конкретно с их системой управления контентом, призывая пользователей работать с хостинг-провайдерами для обеспечения безопасности своих установок.

OpenAI подчеркнула, что дефекты были обнаружены исследователями до известных случаев их эксплуатации хакерами, окно возможностей, вероятно, предоставленное сложностью выявления и использования таких глубоко укоренившихся проблем. Однако Wiz предупреждает, что появление крупных языковых моделей снижает барьеры для злоумышленников в адаптации эксплойтов под разные версии и конфигурации PHP, фактически повышая уровень риска.

Таким образом, это событие демонстрирует парадокс роли ИИ в кибербезопасности: он был важен для выявления и предупреждения высокорисковых уязвимостей, но одновременно сокращает промежуток времени между раскрытием проблемы и её использованием злоумышленниками. Непрерывной задачей для глобальной интернет-экосистемы является ускоренное исправление десятков миллионов сайтов на PHP с целью предотвращения потенциальных атак. Настойчивость NSA в требовании немедленных действий или временного отключения сайтов подчёркивает срочность данного критического инцидента безопасности.