ИИ нашёл критические уязвимости в PHP: правительства начали отключать сайты

Разработчики PHP сообщили о двух критических уязвимостях, обнаруженных исследователями кибербезопасности с помощью искусственного интеллекта. Проблемы затрагивают один из самых распространённых языков веб-разработки, на котором работают сайты с WordPress, Drupal, Joomla и другими системами.

Уязвимости получили название PHP2Shell и оценку опасности 9,2 из 10 баллов. Ошибки в механизмах управления памятью PHP позволяют злоумышленникам удалённо выполнять вредоносный код на уязвимых серверах без авторизации. Потенциальные последствия включают кражу данных, изменение содержимого сайтов и получение доступа к серверной инфраструктуре.

Одну из проблем обнаружила компания Calif, использовавшая модель GPT-5.6 Sol от OpenAI. Независимо от неё специалисты Wiz нашли обе уязвимости при помощи ИИ-инструментов, включая Gemini 4 Argon и GPT-5.6 Sol. Исследования проводились в том числе в рамках программы OpenAI Patch the Planet, направленной на повышение безопасности критически важного программного обеспечения.

По данным W3Techs, PHP используется примерно на 69% сайтов, для которых удалось определить серверный язык программирования. Однако это не означает, что все они уязвимы или уже подверглись атакам.

На фоне предупреждений некоторые государственные учреждения Финляндии и Нидерландов временно ограничили доступ к своим сайтам. Аналогичные меры приняли отдельные европейские университеты. Компания Cloudflare уже зафиксировала попытки эксплуатации уязвимостей и автоматически включила защиту для пользователей своего веб-экрана WAF, включая бесплатный тариф.

21 октября разработчики PHP выпустили экстренные обновления версий 8.2.35, 8.3.36, 8.4.27 и 8.5.12, устраняющие обнаруженные проблемы. Владельцам сайтов рекомендуют установить исправления как можно скорее. Для устаревших версий PHP могут потребоваться специальные обновления от поставщиков ПО или переход на поддерживаемую ветку.

Разработчики подчёркивают, что дополнительные средства защиты, включая WAF, не заменяют обновление самого PHP.