В среду NSA выпустила угрожающее предупреждение: в PHP найдены две критические уязвимости, уже залатаны разработчиками, но интернет весь на нервах. PHP — это язык программирования для серверов, на котором работают примерно 70% всех сайтов, то есть примерно 33 миллиона ресурсов. Это основа WordPress и огромного количества веб-приложений. NSA не шутит: если сайт нельзя срочно обновить, его лучше вообще отключить до момента патчинга.
Самое интересное: эти дыры сидели во всех версиях PHP с 2004 года, когда вышла версия 5.0. Через них можно получить доступ к файловой системе сервера или к базам данных. PHP 8.1 и старше уже не получают поддержку — нужно срочно обновляться до текущей версии 8.5.12. Но как же такие очевидные уязвимости, спрятанные на виду два десятилетия, вдруг всплыли? Ответ предсказуем: ИИ.
OpenAI в рамках программы "Patch the Planet" использовала GPT-5.6 Sol, чтобы найти уязвимости в open source коде. Отдельно команда Wiz применила сразу несколько инструментов: свой Wiz Atlas, Gemini 4 Argon от Google и опять же GPT-5.6 Sol. В итоге нашли не одну, а несколько дыр. Обе стороны, конечно, сработали как надо: не палили уязвимости в прессу, сначала согласовали патчи с разработчиками PHP, потом с помощью Automattic, Akamai, AWS, Cloudflare и других крупных игроков всё протестировали и выпустили одновременно.
OpenAI говорит, что нашли уязвимости раньше, чем их могли бы найти хакеры, и в дикой природе эксплойтов пока не видно. Отчасти потому, что раньше, без ИИ, это было сложно. Но теперь LLM могут адаптировать эксплойт под разные версии PHP, конфигурации и архитектуры памяти. Вот такой парадокс: ИИ нашёл проблему, которая критична именно потому, что теперь есть ИИ.
После публичного раскрытия хакеры уже знают о дырах. Начинается гонка: нужно залатать десятки миллионов сайтов быстрее, чем их успеют взломать. Поэтому NSA прямо говорит: не можешь обновиться немедленно — отключи сайт с интернета до момента обновления.
В российском бизнесе это касается буквально всех компаний с собственным веб-приложением или сайтом на PHP (а это подавляющее большинство). Если вы хостите код сами или у российского хостера — срочно проверьте версию PHP и обновитесь. Если используете управляемый хостинг (облачные платформы, CMS-хостинги) — проверьте на сайте провайдера, патчены ли они, и требуйте письменного подтверждения. Для компаний с критичным контентом на WordPress — обновление просто обязательно, несмотря на заверения WordPress Foundation, что это не их баг. Уязвимость в самом языке, а не в CMS.
В более широком смысле это показывает реальную силу и риск ИИ одновременно. С одной стороны, инструменты вроде GPT и Gemini находят проблемы, которые люди пропустили за 20 лет. С другой стороны, теперь те же инструменты в руках злоумышленников становятся инструментом для массовых атак. Это не первый раз, когда ИИ обнаруживает уязвимость, но это первый случай на такой масштабной инфраструктуре. Интернет, похоже, получил хороший пинок под зад для обновления легасси-кода.