На этой неделе произошло то, что организаторы назвали «PHP-ocalypse»: в открытом исходном коде PHP обнаружили критические уязвимости, существовавшие там десятилетия. Владельцы сайтов получили ультиматум — срочно патчиться или отключаться. На фоне этого возник вопрос куда более тревожный: если современные LLM смогли найти баг, скрывавшийся годами, что произойдёт, когда эти инструменты получат ещё больше вычислительной мощности и автономности?
PHP используется примерно в 70% всех веб-сайтов — это основа WordPress, Drupal и бесчисленного множества CMS-систем. То есть речь идет о десятках миллионов активных сайтов, уязвимых одновременно. Ключевой момент: эти уязвимости нашли исследователи из OpenAI и компании Wiz (которую приобрела Google) в рамках инициативы Hack the Planet, и они использовали AI для проверки эксплойтов. Но как только информация об этом попала в открытый доступ — раньше истечения эмбарго — произошла волна скоординированных атак. По словам генерального директора Cloudflare Matthew Prince, это вылилось в миллионы попыток хакерского атак на PHP2Shell за считанные часы.
Здесь обнажилась фундаментальная проблема ответственного раскрытия уязвимостей в эпоху AI. Обычно компании работают по протоколу: найти баг, дискретно сообщить разработчикам, дождаться патча, опубликовать информацию. Но когда речь идет о коде, который держит на себе колоссальную часть интернета, этот механизм рушится. Нельзя послать приватное письмо миллионам веб-мастеров и попросить их помолчать — веб-мастеров как профессии больше не существует, сайты поддерживают AI, фрилансеры, разработчики, не имеющие специализированных каналов связи. Получается замкнутый круг: либо держишь молчание и рискуешь, что баг обнаружат другие (в т.ч. злоумышленники), либо публикуешь и провоцируешь паник-атаки.
Что действительно тревожит в этой ситуации — масштаб. PHP существует уже 30 лет, и в нём найдены уязвимости, которые никто не замечал, пока это не сделала машина. Это означает, что по всему интернету ждут своего часа сотни, если не тысячи аналогичных «спящих» багов. Когда AI-агенты получат достаточно вычислительной мощности для автономного поиска, они смогут их найти в масштабе, который человечество просто не в состоянии будет оперативно запатчить. Здание интернета держится на открытом исходном коде и мечтах — это уже давно известно, но раньше никто не проверял это систематически и автоматизированно.
Побочный эффект спешного отключения сайтов для предотвращения взлома — массовый link rot. Небольшие сайты, государственные порталы, локальные архивы могут не вернуться в сеть или вернуться позже. Интернет потеряет куски своей истории и полезного контента просто потому, что их владельцы не успели или не смогли среагировать на срочный патч.
В России это актуально для любого интернет-бизнеса, использующего WordPress (а это большинство: от блогов до интернет-магазинов). Многие компании, особенно малые и средние, даже не знают, работает ли их сайт на PHP — так тщательно это скрыто за интерфейсом CMS. Срочное уведомление означает: проверить свою инфраструктуру прямо сейчас, убедиться в версии PHP и наличии актуального патча, иначе риск взлома и потери данных критичный. Крупным компаниям с DevOps-командой управиться проще, но даже здесь требуется скоордированное действие — не во всех случаях можно позволить сайту просто упасть на время патчирования. Эта ситуация демонстрирует, почему правильный мониторинг уязвимостей и своевременное обновление ПО — это не optional для конкурентоспособности, а базовый requirement.
По оценке экспертов, это только начало. Волна AI-поиска уязвимостей будет нарастать, и каждый новый случай будет требовать ещё более скоординированного ответа. Индустрия столкнулась с необходимостью переделать весь процесс раскрытия уязвимостей на скорость и масштаб, которые раньше казались невозможными. Иначе инфраструктура интернета попросту не выдержит темп, с которым AI её сканирует.