В PHP устранили критическую уязвимость, найденную ИИ-моделями

Специалисты по информационной безопасности обнаружили в PHP критические уязвимости, которые могли позволить злоумышленнику удалённо выполнять код на сервере без авторизации. По данным OpenAI, брешь выявили с помощью ИИ-моделей в рамках инициативы Patch the Planet. Уязвимости затрагивали установки PHP, обрабатывающие веб-запросы, а риск зависел от конфигурации сервера. Об этом сообщает IXBT News.

Наиболее опасным сценарием команда PHP назвала эксплуатацию через mod_php, при которой атаку можно было запустить ещё до выполнения кода приложения.

21 октября команда PHP выпустила экстренные обновления 8.5.12, 8.4.27, 8.3.36 и 8.2.35. Исправления закрывают две уязвимости: одна связана с повреждением внутреннего состояния при нехватке памяти, другая — с использованием устаревших данных после освобождения памяти. Разработчикам и администраторам настоятельно рекомендуют обновить PHP. Для проверки установленных версий OpenAI также опубликовала диагностический инструмент php2shell-checker на GitHub.

По информации OpenAI, подготовка исправлений заняла около двух месяцев и потребовала согласования между разработчиками PHP, специалистами Calif, Wiz и Cloudflare, Агентством по кибербезопасности и защите инфраструктуры США (CISA) и Белым домом. Участники координировали раскрытие информации так, чтобы разработчики и поставщики успели подготовить исправления до публичного объявления об уязвимостях. Теперь OpenAI предлагает закрепить этот подход в виде типового регламента раскрытия критических уязвимостей, обнаруженных ИИ. Компания рассчитывает, что согласованная процедура позволит разработчикам, исследователям безопасности и государственным структурам быстрее обмениваться информацией и выпускать исправления до того, как технические детали станут общедоступны.

Подписывайтесь на наш Telegram-канал, чтобы быть в курсе всех новостей и событий Рунета.