**AI нашёл дыру в PHP, которую люди не замечали 14 лет. И это только начало**
GPT-5.6 Sol от OpenAI помогла обнаружить одну из двух критических уязвимостей в PHP — языке, на котором работает значительная часть интернета.
Вторая была найдена независимо.
Вместе они получили название PHP2Shell и оценку 9.2 из 10 по CVSS v4.0.
Звучит как сюжет для блокбастера, но это уже реальность, с которой столкнулись администраторы по всему миру.
**Что именно произошло**
Две уязвимости, CVE-2026-109618 и CVE-2026-109619, — это ошибки в управлении памятью самого движка PHP, а не в коде какого-то конкретного приложения.
Первая связана с некорректной обработкой ситуации out-of-memory (OOM): когда PHP не хватает памяти, он может начать работать с частично инициализированными данными, что ведёт к повреждению памяти.
Вторая — это stale global state (устаревшее глобальное состояние) и use-after-free (использование после освобождения): PHP не сбрасывает внутреннее состояние после аварийного завершения запроса, и следующий запрос может обратиться к уже освобождённой памяти.
Обе уязвимости позволяют злоумышленнику удалённо выполнить произвольный код (RCE) без какой-либо аутентификации.
Самый высокий риск — для серверов на Apache с mod_php, где вредоносный запрос срабатывает ещё до того, как выполнится код приложения.
Уязвимы также PHP-FPM, php-cgi, FrankenPHP и LiteSpeed.
Уязвимости были исправлены в версиях **PHP 8.2.35, 8.3.36, 8.4.27 и 8.5.12**.
Для веток 7.4, 8.0 и 8.1, которые уже не поддерживаются, PHP опубликовал минимальные патчи обратного портирования, а для 7.3 и более ранних официальных исправлений нет.
**Как ИИ оказался в центре истории**
По данным OpenAI, первая уязвимость была найдена в августе исследователем из компании Calif с помощью модели GPT-5.6 Sol в рамках инициативы Patch the Planet.
Компания Wiz независимо обнаружила обе уязвимости, используя свои инструменты и модели, включая Gemini.
Сам факт того, что ИИ-модель помогла найти критическую ошибку в таком распространённом языке, — это прецедент.
Но важно понимать: Calif подчёркивает, что использовала общедоступные модели и что знание истории PHP сыграло не меньшую роль, чем сам ИИ.
То есть это не «ИИ за пять минут нашёл всё», а скорее «ИИ ускорил аудит, который проводили специалисты».
**Реакция и последствия**
Уязвимости существовали в PHP около 14 лет; ещё в 2024 году были признаки проблемы, но тогда их не восприняли серьёзно.
Утечка информации о готовящемся раскрытии произошла раньше срока, и PHP выпустил патчи на день раньше запланированного.
Агентство национальной безопасности США, ФБР и ведомства ряда стран призвали срочно установить обновления или отключить уязвимые системы от сети.
Cloudflare сообщила, что уже фиксировала попытки эксплуатации, а некоторые сервисы, включая Pinboard и форум GrapheneOS, временно отключали части своих сайтов.
OpenAI также анонсировала пятиэтапную схему координированного раскрытия уязвимостей, найденных ИИ, и пообещала предоставить субсидированный доступ на $1 млрд к своему инструменту безопасности Daybreak для организаций с ограниченными ресурсами.
🛠 **Мнение DevGeek.IT:**
История с PHP2Shell — это не просто «ИИ спас интернет». Это демонстрация нового правила игры: ИИ-модели становятся полноценным инструментом аудита безопасности, и их находки будут появляться всё чаще.
OpenAI прямо говорит, что это только начало, и число подобных находок резко вырастет в ближайшие месяцы.
С одной стороны, это хорошо — у защитников появляется шанс находить дыры раньше атакующих.
С другой — это же означает, что и атакующие получат доступ к тем же моделям.
Настоящий урок из этой ситуации простой: если вы всё ещё думаете, что «PHP — это небезопасно по определению», то вот вам уязвимость в самом движке, которая 14 лет ждала своего часа.
Патчите серверы, не ждите, пока ИИ найдёт что-то ещё.
**Источники:** gizmodo.com, cirt.gy, thenextweb.com, blackkite.com, mashable.com, ipa.go.jp.
GPT-5.6 Sol от OpenAI помогла обнаружить одну из двух критических уязвимостей в PHP — языке, на котором работает значительная часть интернета.
Вторая была найдена независимо.
Вместе они получили название PHP2Shell и оценку 9.2 из 10 по CVSS v4.0.
Звучит как сюжет для блокбастера, но это уже реальность, с которой столкнулись администраторы по всему миру.
**Что именно произошло**
Две уязвимости, CVE-2026-109618 и CVE-2026-109619, — это ошибки в управлении памятью самого движка PHP, а не в коде какого-то конкретного приложения.
Первая связана с некорректной обработкой ситуации out-of-memory (OOM): когда PHP не хватает памяти, он может начать работать с частично инициализированными данными, что ведёт к повреждению памяти.
Вторая — это stale global state (устаревшее глобальное состояние) и use-after-free (использование после освобождения): PHP не сбрасывает внутреннее состояние после аварийного завершения запроса, и следующий запрос может обратиться к уже освобождённой памяти.
Обе уязвимости позволяют злоумышленнику удалённо выполнить произвольный код (RCE) без какой-либо аутентификации.
Самый высокий риск — для серверов на Apache с mod_php, где вредоносный запрос срабатывает ещё до того, как выполнится код приложения.
Уязвимы также PHP-FPM, php-cgi, FrankenPHP и LiteSpeed.
Уязвимости были исправлены в версиях **PHP 8.2.35, 8.3.36, 8.4.27 и 8.5.12**.
Для веток 7.4, 8.0 и 8.1, которые уже не поддерживаются, PHP опубликовал минимальные патчи обратного портирования, а для 7.3 и более ранних официальных исправлений нет.
**Как ИИ оказался в центре истории**
По данным OpenAI, первая уязвимость была найдена в августе исследователем из компании Calif с помощью модели GPT-5.6 Sol в рамках инициативы Patch the Planet.
Компания Wiz независимо обнаружила обе уязвимости, используя свои инструменты и модели, включая Gemini.
Сам факт того, что ИИ-модель помогла найти критическую ошибку в таком распространённом языке, — это прецедент.
Но важно понимать: Calif подчёркивает, что использовала общедоступные модели и что знание истории PHP сыграло не меньшую роль, чем сам ИИ.
То есть это не «ИИ за пять минут нашёл всё», а скорее «ИИ ускорил аудит, который проводили специалисты».
**Реакция и последствия**
Уязвимости существовали в PHP около 14 лет; ещё в 2024 году были признаки проблемы, но тогда их не восприняли серьёзно.
Утечка информации о готовящемся раскрытии произошла раньше срока, и PHP выпустил патчи на день раньше запланированного.
Агентство национальной безопасности США, ФБР и ведомства ряда стран призвали срочно установить обновления или отключить уязвимые системы от сети.
Cloudflare сообщила, что уже фиксировала попытки эксплуатации, а некоторые сервисы, включая Pinboard и форум GrapheneOS, временно отключали части своих сайтов.
OpenAI также анонсировала пятиэтапную схему координированного раскрытия уязвимостей, найденных ИИ, и пообещала предоставить субсидированный доступ на $1 млрд к своему инструменту безопасности Daybreak для организаций с ограниченными ресурсами.
🛠 **Мнение DevGeek.IT:**
История с PHP2Shell — это не просто «ИИ спас интернет». Это демонстрация нового правила игры: ИИ-модели становятся полноценным инструментом аудита безопасности, и их находки будут появляться всё чаще.
OpenAI прямо говорит, что это только начало, и число подобных находок резко вырастет в ближайшие месяцы.
С одной стороны, это хорошо — у защитников появляется шанс находить дыры раньше атакующих.
С другой — это же означает, что и атакующие получат доступ к тем же моделям.
Настоящий урок из этой ситуации простой: если вы всё ещё думаете, что «PHP — это небезопасно по определению», то вот вам уязвимость в самом движке, которая 14 лет ждала своего часа.
Патчите серверы, не ждите, пока ИИ найдёт что-то ещё.
**Источники:** gizmodo.com, cirt.gy, thenextweb.com, blackkite.com, mashable.com, ipa.go.jp.
Просмотры: 5