Критические уязвимости PHP поставили под угрозу сайты по всему интернету

Что произошло

В PHP обнаружили две критические уязвимости, которые затрагивают версии языка начиная с PHP 5. По данным компании watchTowr, это уязвимости удалённого выполнения кода: они позволяют атакующим запускать собственный код на уязвимых серверах, изменять сайты и красть данные.

Разработчики PHP выпустили исправления и призвали пользователей обновить программное обеспечение сразу после доступности патча. Некоторые агентства по кибербезопасности рекомендовали временно отключить системы, если установить исправление сразу невозможно.

Масштаб проблемы

PHP используется для создания сайтов и веб-приложений и, по некоторым оценкам, присутствует примерно на 70% сайтов. На нём работают Wikipedia, WordPress и Drupal. После раскрытия уязвимостей временно отключались DeviantArt и 4Chan.

Проблема осложняется тем, что уязвимость существует в версиях PHP примерно за последние 20 лет. Старые сайты и сервисы, которые больше не обновляются или не могут получить исправление, могут навсегда прекратить работу.

Почему это важно

Генеральный директор Cloudflare Matthew Prince сообщил, что за 10 часов до публичного раскрытия проблемы компания зафиксировала тысячи попыток эксплуатации уязвимости в своей сети. За следующие 2 часа показатель вырос до сотен тысяч атак, а к прошлому вечеру — до миллионов.

По оценке Wiz, эксплуатация уязвимости ранее требовала исключительно сложной последовательности действий, практически недоступной для обычных исследователей. Однако мощные модели AI упростили превращение подобных малоизвестных ошибок в опасные уязвимости.

Роль AI и доступные исправления

OpenAI заявила, что исследователь безопасности из Calif использовал GPT-5.6 Sol для поиска способов эксплуатации PHP до того, как это сделали атакующие. Компания также опубликовала инструмент, позволяющий разработчикам проверить, используют ли они потенциально уязвимую версию PHP.

Ami Luttwak, сооснователь команды безопасности Wiz в Google, участвовавшей в обнаружении эксплойта PHP2Shell, назвал его самой серьёзной AI-уязвимостью из когда-либо найденных. Патч был выпущен в 10:00 по ET.