ИИ нашел критические уязвимости, затрагивающие 70% сайтов: ими уже пытаются воспользоваться хакеры
Агентство национальной безопасности США в среду предупредило о двух критических уязвимостях в языке PHP. Исправления уже выпустил PHP Foundation. Если сайт нельзя обновить сразу, АНБ советует отключить его от сети до установки патча.
PHP остается серверным языком программирования, на котором работает около 70% сайтов, по некоторым оценкам, более 33 млн. Его используют и популярные системы управления контентом, в том числе WordPress. Уязвимости позволяют атакующему получить доступ к файловой системе сервера или к базе данных, с которой работает веб-приложение.
Ошибки присутствуют во всех версиях PHP начиная с пятой, которая вышла в 2004 году. Версии 8.1 и более ранние больше не поддерживаются, поэтому владельцам сайтов на устаревших версиях придется обновляться. Рекомендация состоит в переходе на актуальную версию 8.5.12.
Уязвимости нашли с помощью ИИ. Компания Calif, которая занимается тестированием безопасности, участвовала в инициативе OpenAI «Patch the Planet» по поиску ошибок в open source и нашла одну из них с помощью GPT-5.6 Sol. Об этом OpenAI сообщила в блоге. Отдельно команда Wiz, которая принадлежит Google, использовала своего ИИ-агента Wiz Atlas, Gemini 4 Argon и GPT-5.6 Sol и обнаружила несколько уязвимостей.
Обе компании следовали практике ответственного раскрытия: согласовали исправления с разработчиками PHP до публикации, а затем вместе с ними и с привлеченными участниками проверяли патчи. Wiz поблагодарила Automattic, Akamai, AWS, Cloudflare, Fastly, Imperva, Microsoft и Vercel.
Представители WordPress заявили, что проблема не относится именно к этой системе управления контетом. Владельцам сайтов на WordPress нужно обновить серверы и согласовать защиту с хостинг-провайдерами.
По словам OpenAI, исследователи нашли ошибки раньше злоумышленников, о случаях эксплуатации не сообщалось. Отчасти причина в том, что до появления ИИ такие уязвимости было слишком сложно использовать.
В блоге Wiz предупреждает, что теперь это препятствие снято: языковые модели помогают адаптировать эксплойт к разным версиям PHP, конфигурациям и раскладкам памяти. Выходит, что ошибки нашли и закрыли благодаря ИИ, а риск они представляют тоже из-за ИИ.
После раскрытия информации о проблемах знают и атакующие. Начинается гонка: десятки миллионов сайтов нужно обновить до того, как злоумышленники доберутся до тех, где патч не установлен. Этим объясняется совет АНБ отключать сайты, которые не удается обновить немедленно.
Подпишитесь на «Инк» в Telegram. Там мы пишем нескучным языком о самом важном для предпринимателей. Подписаться.
