ИИ OpenAI находит десятилетнюю уязвимость в PHP и координирует её исправление
Пара серьёзных уязвимостей в PHP, скриптовом языке, на котором работает огромная доля мировых веб-сайтов, вызвала на этой неделе редкую глобальную спешку. Ошибки были обнаружены с помощью инструментов ИИ OpenAI, а затем исправлены в ходе скоординированной операции с участием сопровождающих программное обеспечение, security-компаний, облачных провайдеров и национальных агентств по кибербезопасности, сообщают OpenAI и исследователи безопасности.
Обе уязвимости, объединённые под названием PHP2Shell и отслеживаемые как CVE-2026-109618 и CVE-2026-109619, получили оценку 9,2 из 10 по шкале серьёзности CVSS v4.0. В худшем случае злоумышленник может выполнить произвольный код на уязвимом сервере — это примерно так серьёзно, как только может быть в веб-безопасности. Сообщается, что эти ошибки скрывались в кодовой базе более десяти лет.
Открытие было сделано в рамках программы OpenAI Patch the Planet — инициативы, которая объединяет ИИ-модели с исследователями безопасности для поиска слабых мест в широко используемом открытом программном обеспечении. Говорят, что security-компания Calif и облачная security-фирма Wiz независимо друг от друга выявили проблемы PHP с помощью ИИ в августе. Затем последовало около двух месяцев тихой работы по подготовке исправлений, прежде чем кто-либо смог превратить эти ошибки в оружие.
Эти планы были нарушены, когда 20 октября произошла утечка деталей, по-видимому, до согласованной даты релиза. Утечка заставила операционные команды PHP провести долгую ночь: администраторы спешно оценивали подверженность и применяли меры защиты. PHP Foundation выпустила официальные патчи 21 октября, и OpenAI опубликовала свой отчёт обо всех усилиях в тот же день.
Эта история важна далеко за пределами форумов разработчиков. PHP лежит в основе систем управления контентом, форумов и интернет-магазинов по всему интернету, и оценки, циркулирующие в китайских технологических СМИ, говорят о том, что его охват составляет примерно семьдесят процентов веб-сайтов. Удалённо эксплуатируемая уязвимость в этом слое — это системный риск, а не нишевый, поэтому облачные провайдеры и государственные органы безопасности присоединились к реагированию.
Для OpenAI Patch the Planet — это ещё и заявление о том, как ИИ может изменить исследование уязвимостей. Поиск ошибок в масштабе традиционно был медленной ручной работой. ИИ-модели могут быстро сканировать огромные кодовые базы, но более сложная часть — это человеческий механизм, который следует за этим: проверка находок, написание патчей, предупреждение поставщиков и сохранение всего в тайне до тех пор, пока пользователи не смогут обновиться. Эпизод с PHP проверил этот механизм на прочность в условиях утечки.
Этот эпизод также высвечивает растущее напряжение. Обнаружение с помощью ИИ означает, что больше ошибок будет всплывать быстрее, и не у каждого проекта есть сопровождающие или ресурсы, чтобы реагировать с такой скоростью. Нормы скоординированного раскрытия, когда-то тихий уголок индустрии, становятся глобальным логистическим упражнением с участием компаний и агентств, которые редко общаются друг с другом.
Для обычных пользователей и компаний практический совет остаётся неизменным: своевременно обновляйте установки PHP и зависимое программное обеспечение и следите за рекомендациями поставщиков. Для индустрии урок может заключаться в том, что ИИ теперь является частью цепочки поставок безопасности, и гонка идёт уже не только за поиск ошибок, но и за их исправление до того, как интернет узнает о них.