ИИ помог обнаружить критические уязвимости в PHP

Что произошло

Агентство национальной безопасности США сообщило о двух критических уязвимостях в PHP. PHP Foundation уже выпустила исправления.

Уязвимости позволяют атакующим проникнуть в файловую систему сервера или получить доступ к базе данных, которую использует веб-приложение. NSA рекомендовало отключить сайт от интернета, если его нельзя немедленно обновить.

Как нашли уязвимости

Одну из уязвимостей нашла компания Calif в рамках инициативы OpenAI «Patch the Planet» по поиску дефектов в программном обеспечении с открытым исходным кодом. Для этого использовалась модель GPT-5.6 Sol.

Команда Wiz также применяла искусственный интеллект: агента Wiz Atlas, Gemini 4 Argon и GPT-5.6 Sol. Исследователи работали с PHP над исправлениями до публичного раскрытия информации и тестировали патчи.

Почему это важно

PHP используется примерно на 70% сайтов в интернете, а по некоторым оценкам — более чем на 33 млн ресурсов. Язык также применяется популярными системами управления контентом, включая WordPress.

Уязвимости присутствовали во всех версиях PHP начиная с версии 5, выпущенной в 2004 году. Версии PHP 8.1 и старше в смысле более ранних выпусков больше не поддерживаются, поэтому владельцам таких сайтов потребуется обновление.

WordPress подчеркнула, что проблема не специфична для самой системы управления контентом. Сайты на WordPress должны обновить серверы и связаться с хостинг-провайдерами.

Риск эксплуатации

OpenAI заявила, что исследователи обнаружили уязвимости раньше хакеров, поэтому сообщений об эксплуатации в реальных атаках не было.

Wiz предупредила, что искусственный интеллект снижает сложность эксплуатации таких ошибок: большие языковые модели могут адаптировать эксплойт под разные версии PHP, конфигурации и структуры памяти.