PHP-Армагеддон: OpenAI и Wiz от Google нашли древние уязвимости, посеяв панику в интернете

В среду Агентство национальной безопасности США выступило с тревожным предупреждением о том, что в PHP были обнаружены две критические уязвимости, а исправления уже выпущены PHP Foundation.

PHP — это серверный язык программирования, настолько широко используемый для веб-приложений, что на нём работает примерно 70% веб-сайтов в интернете; по некоторым оценкам, это более 33 миллионов сайтов. Его также используют такие популярные системы управления контентом, как WordPress.

В АНБ предупредили, что эти уязвимости настолько серьёзны, что если сайт невозможно немедленно обновить, его следует отключить от интернета до тех пор, пока это не станет возможным. Уязвимости позволяют злоумышленникам проникнуть в файловую систему сервера или в базу данных, которая может использоваться веб-приложением.

Интересно, что эти уязвимости были скрыты во всех версиях PHP начиная с версии 5, выпущенной в 2004 году. Владельцам сайтов, на которых работают относительно старые версии PHP, потребуется выполнить обновление, поскольку PHP 8.1 и более ранние версии больше не поддерживаются. Рекомендуется обновить веб-сервер до актуальной версии PHP — 8.5.12.

Как же две настолько распространённые уязвимости, существовавшие десятилетиями и затрагивающие почти каждый сайт в интернете, внезапно стали известны? Разумеется, благодаря ИИ — в частности, OpenAI и Wiz от Google.

Компания Calif, занимающаяся тестированием безопасности, участвовала в инициативе OpenAI «Patch the Planet», направленной на поиск уязвимостей в программном обеспечении с открытым исходным кодом. Используя GPT‑5.6 Sol, она обнаружила одну из уязвимостей, о чём OpenAI сообщила в записи в блоге. Отдельно команда Wiz также использовала ИИ — а именно своего ИИ-агента безопасности Wiz Atlas, Gemini 4 Argon и GPT-5.6 Sol — для обнаружения нескольких уязвимостей в PHP.

И OpenAI, и Wiz следовали ответственным практикам исследования безопасности и работали с PHP над исправлениями до публичного раскрытия уязвимостей. Затем все они вместе подробно изучили обнаруженные проблемы и протестировали исправления, привлекая к работе множество других участников.

Wiz выразила благодарность Automattic, Akamai, AWS, Cloudflare, Fastly, Imperva, Microsoft и Vercel. (Хотя сайты WordPress используют PHP, WordPress опубликовала заявление, в котором говорится, что уязвимость не является специфичной для WordPress, а сайты, работающие на этой CMS, должны установить исправления на своих серверах и связаться со своими хостинг-провайдерами, чтобы убедиться в защищённости сайтов.)

В OpenAI утверждают, что эти уязвимости были обнаружены исследователями до того, как их нашли хакеры. Поэтому сообщений об эксплуатации уязвимостей в реальных атаках не поступало. Отчасти это также связано с тем, что до появления ИИ эти уязвимости было слишком сложно эксплуатировать. «С ИИ это больше не является препятствием. Большие языковые модели могут помочь адаптировать эксплойт под разные версии PHP, конфигурации и схемы расположения памяти», — предупредила Wiz в своём блоге, посвящённом этим уязвимостям.

Иными словами, это тот случай, когда проблему безопасности обнаружили и предотвратили благодаря ИИ, но она также представляет высокий риск именно из-за ИИ.

Теперь, когда проблема раскрыта, хакеры полностью осведомлены о ней. Началась гонка: интернету необходимо установить исправления на десятках миллионов сайтов, прежде чем хакеры смогут атаковать незащищённые ресурсы. Поэтому АНБ рекомендует: если вы не можете немедленно обновить свой сайт на PHP, лучше отключить его от интернета до тех пор, пока это не станет возможным.