На прошлой неделе в PHP — языке, на котором работает примерно 70% веб-сайтов мира — нашли две критические уязвимости. Реакция была стандартной для такого сценария: компании в спешке откатывали обновления, некоторые временно переводили сервисы в оффлайн до момента патчирования. На поверхности всё выглядело как очередной инцидент, но суть намного шире.

В расследовании участвовали исследователи Wiz (компания Google по управлению уязвимостями), OpenAI, исследовательская группа Calif и сама команда PHP. Они работали над оцепеплением дыр одновременно, что говорит о серьёзности проблемы. Но самое важное — это вывод, который озвучили специалисты на подкасте Equity: это только начало. Дело не в самих PHP-уязвимостях, а в том, как быстро искусственный интеллект меняет скорость их обнаружения и использования.

До недавних пор цикл жизни уязвимости выглядел примерно так: найдена, закрыта, патч распространяется медленно (дни, иногда недели), большая часть систем остаётся уязвима, но достаточно долго, чтобы люди успели обновиться. Теперь AI ускоряет обе фазы — и саму находку, и анализ потенциала её эксплуатации. Это означает, что окно между опубликованием уязвимости и её массовым использованием в атаках может сократиться до часов или даже минут, если критичность высока.

Разговор в индустрии постепенно сдвигается с вопроса «как быстро выпустить патч» на более фундаментальный: как вообще это масштабировать, если каждая критическая уязвимость требует срочного ручного вмешательства миллионов разработчиков и операторов. Ручное патчирование — это теперь бутылочное горлышко, которое не держит темп расширения атак. Особенно остро это встаёт для open source проектов, где инфраструктура обновлений часто не готова к такому давлению.

В контексте России вопрос приобретает дополнительный слой сложности. Многие компании работают на PHP-базе (от небольших сервисов до крупных платформ), и огромная часть разработчиков слабо интегрирована в системы раннего оповещения о уязвимостях. Для автоматизации контроля уязвимостей можно использовать инструменты сканирования при CI/CD, например через AI Studio или аналогичные платформы с поддержкой автоматического анализа кода. Но это требует изменения подхода к разработке — перехода на модель continuous patching, когда обновления применяются не по расписанию, а по необходимости и максимально автоматизированно.

Термин «vulnpocalypse» (уязвимоцапокалипсис), который использовал Tomer Schwartz из Wiz, звучит драматично, но подкреплен логикой: если AI может генерировать новые варианты эксплуатации известных классов уязвимостей за минуты, а патчирование остаётся ручным процессом, то расстояние между находкой и катастрофой стремительно сокращается. Для критичной инфраструктуры это означает переход на совсем другие модели — от регулярных обновлений к постоянному мониторингу и гибридным решениям, где некритичные компоненты могут быть изолированы или использованы в sandboxed режиме.

Историчная аналогия неточна, но в индустрии помнят эпоху быстрого распространения червей в начале 2000-х. Тогда каждый инцидент вроде Code Red или Nimda уходил на полную очистку месяцы, потому что масштаб был огромен. Сейчас масштаб в сети ещё больше, а скорость атак будет выше благодаря AI. Это не пугалка, а сигнал к переосмыслению того, как вообще строятся системы безопасности в web-приложениях.