Модели ИИ обнаружили, по словам OpenAI, «одну из самых серьёзных» уязвимостей последнего времени, скрывавшуюся в PHP больше десяти лет. От трекера сна Pokémon до нижней палаты нидерландского парламента — сайты по всему миру временно отключались, опережая хакеров.
Команда разработчиков языка PHP выпустила обновления, призванные закрыть критические уязвимости, из-за которых по всему миру пришлось в превентивном порядке отключать тысячи сайтов, в том числе госучреждений: не работали страницы парижской полиции, парламента Нидерландов, британского вещателя «Би-би-си» и многие другие.
РЕКЛАМА
РЕКЛАМА
Теперь с призывом установить патчи выступают официально представители национальных правительств и межгосударственных служб безопасности (таких как «Интерпол»).
Язык программирования PHP появился в начале 1990-х для создания домашних страничек — изначально сама эта аббревиатура расшифровывалась как Personal Home Page, то есть «личная домашняя страница».
Однако со временем скриптовый язык стал одной из основ современного интернета благодаря большому его удобству для разработки веб-приложений.
По имеющимся данным, около 70% сайтов сегодня используют PHP.
На этом языке написаны главным образом незаметные для посетителя, но критически важные структуры, отвечающие за динамические сценарии, управление данными, обработку ошибок, проведение платежей.
Именно поэтому новость сразу о двух критических уязвимостях в коде заставила крупные компании и правительственные структуры временно отключить свои сайты — чтобы опередить хакеров до выхода патчей.
Защищёнными считаются версии 8.5.12, 8.4.27, 8.3.36 и 8.2.35. Все более старые редакции официально не поддерживаются и должны рассматриваться как уязвимые.
Как ИИ обнаружил уязвимости
Обе проблемы получили оценку 9,2 из 10 по шкале серьёзности; они находятся в частях PHP, к которым обращается почти каждый запрос, то есть в механизмах управления памятью и обработки ошибок.
Если веб‑запрос достигает предела памяти PHP в неподходящий момент, программное обеспечение можно обмануть и заставить выполнять код злоумышленника без какой‑либо авторизации.
Фонд PHP признал, что первые признаки проблемы разработчики заметили ещё в 2024 году во время внешнего аудита.
Тогда был описан лишь теоретический вариант эксплойта, без чёткого сценария атаки. Работа над исправлением то останавливалась, то возобновлялась в течение нескольких месяцев. Сегодня в фонде называют эту задержку «структурным провалом».
Затем подключился ИИ. В августе компания Calif, проводившая финансируемый OpenAI аудит исходного кода PHP, сообщила о полностью рабочем сценарии удалённой атаки. Через две недели Wiz представила собственные варианты атак.
«С передовыми моделями ИИ и подходящими инструментами один исследователь за неделю сделал то, на что ранее у команды мирового уровня ушли бы месяцы работы», — написали специалисты Wiz.
В OpenAI назвали эту находку «одной из самых значимых уязвимостей последних лет» и добавили, что она «отмечает новый этап, когда ИИ способен находить ошибки безопасности с последствиями в масштабах всего интернета».
Результаты исследования до выхода исправлений держали в секрете.
Команда PHP выпустила обновление на день раньше запланированного, а Calif по ошибке опубликовала, а затем удалила видео с демонстрацией атаки против нескольких целей. Копии ролика быстро разошлись.
Успели ли закеры воспользоваться уязвимостью?
По данным фонда PHP на момент выхода патчей — не успели. Но ситуация меняется.
Компания Cloudflare в среду заявила, что зафиксировала попытки атак на своих клиентов. В Европейском центре компьютерной безопасности CERT-EU предупредили, что публикация технических подробностей значительно повышает вероятность того, что злоумышленники уже изучают уязвимости.
Теперь всё зависит от того, насколько быстро компании сумеют обновить свои версии PHP. Взаимосвязанная структура онлайн‑сервисов означает, что риск исчезнет только после того, как абсолютно все участники связанной группы установят патчи.