AIPi
Новость · · 2 мин чтения · Команда AIPi

ИИ-модели нашли критические уязвимости в PHP: под угрозой до 70% сайтов

PHP выпустила внеочередные патчи для двух критических уязвимостей с оценкой 9,2, найденных с помощью GPT-5.6 Sol и Gemini 4 Argon. В Нидерландах, Финляндии, Франции, Дании и Германии на время обновления отключали государственные сайты.

ИИ-модели нашли критические уязвимости в PHP: под угрозой до 70% сайтов

21 октября проект PHP выпустил внеплановые версии 8.5.12, 8.4.27, 8.3.36 и 8.2.35. Они закрывают две критические уязвимости — CVE-2026-109618 и CVE-2026-109619 с оценкой 9,2 по CVSS 4.0, — которые позволяют неаутентифицированному атакующему выполнить код на сервере. Нашли их исследователи по безопасности с помощью моделей GPT-5.6 Sol и Gemini 4 Argon.

Что именно нашли

Обе уязвимости — ошибки работы с памятью при обработке фатальной ошибки, чаще всего нехватки памяти. Запрос прерывается, PHP оставляет в движке неинициализированные или уже освобождённые структуры, а следующий запрос того же воркера принимает их за валидные данные.

  • CVE-2026-109618 — повреждение памяти через out-of-memory. Wiz показала RCE без аутентификации на WordPress, Drupal и Joomla; на Apache с mod_php атака срабатывает до кода приложения.
  • CVE-2026-109619 — use-after-free через backtrace фатальной ошибки и type confusion в OPcache; подтверждён RCE на Drupal и WordPress.
  • Отдельно показано чтение памяти воркера: оттуда утекают пароли, токены и ключи API.

Уязвим сам PHP-рантайм: под удар попадают все версии с 5.4, и обновление CMS или плагинов не помогает — нужен патч PHP.

Кто и как нашёл

Специалист Calif Райан А. нашёл первую уязвимость с помощью GPT-5.6 Sol в рамках инициативы OpenAI Patch the Planet и сообщил о ней 11 августа. В тот же день OpenAI независимо передала тот же корень проблемы, 18 сентября — дополнительные векторы атаки. Wiz нашла обе уязвимости самостоятельно, использовав Wiz Atlas, Gemini 4 Argon и GPT-5.6 Sol, и отчиталась 24 августа. PHP подтвердила отчёты 21 сентября.

PHP Foundation признаёт: корень был известен с 2024 года, но команда не могла выбрать исправление без компромиссов по совместимости.

Как реагировали

  • CERT-EU и британский NCSC рекомендовали изолировать или отключить сервисы, которые нельзя обновить сразу. Сайты временно отключали в Нидерландах (DigiD, MijnOverheid, порт Роттердама), Финляндии (госсервисы через Valtori), Франции (сайты префектур), Дании и Германии (часть сайтов через ITZBund).
  • Cloudflare включила защиту по умолчанию на всех тарифах с 03:02 UTC 21 октября — за девять часов до раскрытия.
  • Раскрытие сорвалось: 20 октября идентификаторы CVE ушли в форумы с неверной оценкой 10,0, и PHP сдвинула релиз на день раньше; 21 октября Chainguard опубликовала образы с исправлением до раскрытия.
  • OpenAI заявила о 1 млрд долларов субсидированного доступа к защитным инструментам Daybreak для организаций с ограниченными ресурсами — не грант, а оплата использования моделей.

PHP Foundation пишет: инструменты находят баги быстрее, чем когда-либо, но решать, какое исправление правильное, по-прежнему должны инженеры — а их слишком мало.

Почему это важно

Впервые уязвимость такого масштаба нашли и превратили в рабочий эксплойт силами ИИ: Wiz называет это переломом — один исследователь сделал за неделю то, на что раньше нужны были месяцы. Сложность больше не защищает legacy-код. Практический вывод: обновить PHP, а WAF держать как дополнительный слой, а не замену патчу.

Источники: PHP Foundation, php.net, Wiz Research, Cloudflare, OpenAI, Al Jazeera, Insurance Business.

#безопасность#php#openai