Агентство национальной безопасности США (NSA) в среду предупредило о двух критических уязвимостях в языке программирования PHP, исправления для которых уже выпустил PHP Foundation, сообщает TechCrunch. PHP применяется для создания серверной части веб-приложений и, по разным оценкам, обеспечивает работу примерно 70% сайтов в интернете — это более 33 миллионов ресурсов. На нём также работают популярные системы управления контентом, включая WordPress.
По оценке NSA, опасность этих дыр настолько высока, что сайт, который невозможно обновить немедленно, лучше временно отключить от сети до установки исправлений. Через эти уязвимости злоумышленники могут проникнуть в файловую систему сервера или в базу данных, которую использует веб-приложение. Проблемы присутствовали во всех версиях PHP начиная с версии 5, вышедшей в 2004 году, поэтому сайтам на устаревших сборках предстоит обновление: поддержка PHP 8.1 и более ранних версий прекращена. Рекомендуется перейти на актуальную версию PHP 8.5.12.
Столь давние и распространённые уязвимости, затрагивающие почти все сайты, удалось обнаружить с помощью искусственного интеллекта. Компания Calif в рамках инициативы OpenAI «Patch the Planet» по поиску ошибок в открытом программном обеспечении нашла одну из дыр, используя модель GPT-5.6 Sol, сообщила OpenAI в своём блоге. Параллельно команда Wiz с помощью своих ИИ-инструментов — агента безопасности Wiz Atlas и моделей Gemini 4 Argon и GPT-5.6 Sol — выявила несколько уязвимостей в PHP.
OpenAI и Wiz действовали по правилам ответственного раскрытия уязвимостей: до публичного объявления они вместе с разработчиками PHP подготовили исправления, проверили их и привлекли к работе других специалистов. Wiz выразила благодарность компаниям Automattic, Akamai, AWS, Cloudflare, Fastly, Imperva, Microsoft и Vercel. WordPress, работающий на PHP, заявил, что уязвимость не связана именно с этой системой управления контентом, а владельцам сайтов на нём нужно обновить серверы и взаимодействовать с хостинг-провайдерами для защиты ресурсов.
По данным OpenAI, уязвимости нашли исследователи раньше, чем до них добрались хакеры, поэтому сообщений о реальных атаках не поступало. Отчасти это объясняется тем, что до появления ИИ такие дыры было слишком сложно использовать. «С ИИ это больше не преграда. Большие языковые модели помогают адаптировать эксплойт под разные версии PHP, конфигурации и схемы памяти», — предупредила Wiz в своём блоге.
Теперь, когда информация раскрыта, хакеры знают об уязвимостях, и интернету предстоит гонка за обновление десятков миллионов сайтов до того, как злоумышленники атакуют незащищённые ресурсы. Именно поэтому NSA советует владельцам сайтов на PHP при невозможности быстро установить исправления отключать их от сети до обновления.