PHP-Армагеддон: OpenAI і Wiz від Google знайшли стародавні вразливості, спричинивши паніку в інтернеті

У середу Агентство національної безпеки США оприлюднило тривожне попередження про те, що в PHP було виявлено дві критичні вразливості, а виправлення вже випустив Фонд PHP.

PHP — це серверна мова програмування, настільки широко використовувана для вебзастосунків, що на ній працює приблизно 70% вебсайтів в інтернеті; за деякими даними, це понад 33 мільйони сайтів. Її також використовують такі популярні системи керування контентом, як WordPress.

АНБ попередило, що ці вразливості настільки серйозні, що якщо вебсайт неможливо негайно оновити, його слід відключити від інтернету, доки це не стане можливим. Вразливості дають зловмисникам змогу проникнути у файлову систему сервера або базу даних, яку може використовувати вебзастосунок.

Цікаво, що ці вразливості були приховані в усіх версіях PHP, починаючи з версії 5, випущеної у 2004 році. Вебсайтам, на яких працюють відносно старі версії PHP, доведеться виконати певну роботу з оновлення, оскільки PHP 8.1 і старіші версії більше не підтримуються. Рекомендується оновити вебсервер до поточної версії PHP — 8.5.12.

То як же дві настільки поширені, багаторічні вразливості, що зачіпають майже кожен вебсайт в інтернеті, раптом стали відомими? Звісно ж, завдяки ШІ, зокрема OpenAI та Wiz від Google.

Компанія Calif, що займається тестуванням безпеки, долучилася до ініціативи OpenAI «Patch the Planet», спрямованої на пошук вразливостей у програмному забезпеченні з відкритим кодом. Використовуючи GPT‑5.6 Sol, вона виявила одну з вразливостей, про що OpenAI повідомила у дописі в блозі. Окремо команда Wiz також використовувала ШІ — зокрема свого ШІ-агента з безпеки Wiz Atlas, Gemini 4 Argon і GPT-5.6 Sol — для виявлення кількох вразливостей у PHP.

І OpenAI, і Wiz дотримувалися відповідальних практик дослідження безпеки та працювали з командою PHP над виправленнями, перш ніж публічно розкрити інформацію про вразливості. Потім усі вони спільно допрацювали результати своїх досліджень і протестували виправлення, залучивши багатьох інших учасників для допомоги.

Wiz висловила подяку Automattic, Akamai, AWS, Cloudflare, Fastly, Imperva, Microsoft і Vercel. (Хоча сайти WordPress використовують PHP, WordPress опублікував заяву, у якій зазначив, що вразливість не є специфічною для WordPress, а сайти, на яких працює його CMS, повинні оновити свої сервери та співпрацювати з компаніями, що надають вебхостинг, щоб забезпечити захист своїх сайтів.)

В OpenAI заявляють, що ці вразливості дослідники виявили раніше, ніж їх знайшли хакери. Тож повідомлень про використання вразливостей у реальних атаках не надходило. Частково це також пояснюється тим, що до появи ШІ хакерам було надто складно використовувати ці вразливості. «Зі ШІ це більше не є перешкодою. Великі мовні моделі можуть допомогти адаптувати експлойт до різних версій PHP, конфігурацій і схем розміщення в пам’яті», — попередила Wiz у своєму блозі, присвяченому цим вразливостям.

Іншими словами, це такий тип проблеми безпеки, яку вдалося виявити й запобігти завдяки ШІ, але яка водночас становить високий ризик саме через ШІ.

Тепер, коли інформацію про проблему розкрито, хакери повністю про неї поінформовані. Почалася гонка: інтернет має встигнути оновити десятки мільйонів вебсайтів, перш ніж хакери зможуть атакувати ті, що залишилися без виправлень. Саме тому АНБ рекомендує: якщо ви не можете негайно оновити свій вебсайт на PHP, краще відключити його від мережі, доки це не стане можливим.