Уязвимости в PHP нашёл ИИ: АНБ требует обновиться или отключить сайт

Агентство национальной безопасности США предупредило о двух критических уязвимостях в PHP — серверном языке, на котором работает около 70% сайтов. PHP Foundation уже выпустила исправления. Рекомендация АНБ жёсткая: если сайт нельзя обновить немедленно, его следует отключить от сети до момента установки патча.

Уязвимости позволяют злоумышленникам получить доступ к файловой системе сервера или к базе данных, которую использует веб-приложение. Они присутствуют во всех версиях PHP начиная с PHP 5, вышедшего в 2004 году. Версии 8.1 и старше больше не поддерживаются, поэтому многим владельцам придётся делать масштабное обновление. Рекомендуемая версия — актуальная PHP 8.5.12.

Как это нашёл ИИ

Как сообщает TechCrunch, находки стали результатом исследований с помощью ИИ. Компания Calif в рамках инициативы OpenAI «Patch the Planet» для open source с помощью GPT‑5.6 Sol обнаружила одну из уязвимостей. Отдельно Wiz, принадлежащая Google, использовала своего агента безопасности Wiz Atlas, а также Gemini 4 Argon и GPT-5.6 Sol и нашла несколько уязвимостей.

Обе команды придерживались ответственного раскрытия и подготовили патчи вместе с PHP до публикации. Wiz также поблагодарила Automattic, Akamai, AWS, Cloudflare, Fastly, Imperva, Microsoft и Vercel за помощь в тестировании. WordPress, работающий на PHP, заявил, что проблема не специфична для него: владельцам сайтов нужно обновить серверы и связаться с хостинг-провайдерами.

Почему риск реален

По словам OpenAI, уязвимости нашли исследователи раньше хакеров, и случаев эксплуатации не зафиксировано. Но Wiz предупреждает: раньше эти дыры было слишком сложно эксплуатировать, а ИИ снимает это препятствие — языковые модели помогают адаптировать эксплойт под разные версии PHP, конфигурации и раскладки памяти.

Теперь, когда детали раскрыты, начинается гонка: десятки миллионов сайтов нужно обновить прежде, чем атакующие доберутся до непропатченных. Владельцам стоит проверить версию PHP, перейти на поддерживаемую и уточнить у хостинга статус обновлений.