21 октября команда PHP выпустила экстренные обновления сразу для нескольких поддерживаемых версий языка. Причина - две уязвимости PHP2Shell с оценкой критичности 9,2 из 10.
PHP работает в основе огромной части современного веба. По данным W3Techs на 27 октября, его используют 69,2% сайтов, для которых известен серверный язык. На нём работают WordPress, Drupal, Joomla, MediaWiki и множество других систем. Но PHP2Shell находится не в WordPress и не в неудачном плагине. Ошибка спрятана глубже - в самом механизме PHP.
При определённых сбоях программа неправильно обращается с памятью. Специально сформированный запрос может заставить сервер раскрыть находящиеся там данные или даже выполнить чужой код. Исследователи продемонстрировали удалённую атаку без авторизации на WordPress, Drupal и Joomla.
История этой ошибки тянется издалека. Ещё в 2004 году исследователь безопасности Стефан Эссер обнаружил в PHP опасную проблему, связанную с ограничением памяти. В 2020-м появился ещё один, на первый взгляд почти безобидный баг. В 2024 году аудит PHP снова вывел исследователей на похожее место, однако доказать возможность полноценной атаки тогда не удалось.
А в 2026 году удалось, но с помощью ИИ. Исследователь Calif Райан Остин не попросил нейросеть «найти уязвимость в PHP». Он хорошо знал историю языка и сам предположил, где стоит искать. Но современные модели помогли пройти там, где раньше начиналась чрезвычайно дорогая и долгая ручная работа: анализировать варианты, проверять гипотезы, перестраивать цепочку атаки и подгонять её под разные приложения.
Параллельно команда Wiz независимо обнаружила обе уязвимости. Исследователи пишут, что с помощью передовых моделей смогли создавать и адаптировать рабочие эксплойты для разных приложений уже за часы.
Это меняет довольно старое негласное правило кибербезопасности. Уязвимость могла годами оставаться практически безвредной не потому, что использовать её невозможно, а потому, что цена такой атаки была слишком высока: требовались редкие знания, месяцы работы и специалист очень высокого уровня.
Теперь стоимость сложности падает. Если машину можно научить проходить путь, который раньше был доступен нескольким людям в мире, «слишком сложно для эксплуатации» перестаёт быть убедительной защитой.
И это работает в обе стороны. Те же инструменты помогают исследователям находить опасные места раньше преступников, проверять доказательства атаки и готовить исправления. В случае PHP2Shell вокруг закрытого процесса обновления успели объединиться PHP, Calif, OpenAI, Wiz, Cloudflare и другие участники индустрии.
Но гонка уже началась. Amazon обнаружил попытку эксплуатации PHP2Shell, датированную 17 октября - за четыре дня до официального раскрытия уязвимостей. После публикации исправлений атаки стали более массовыми.
А 23 октября появилась и третья родственная ошибка. Условия для её эксплуатации гораздо сложнее, поэтому экстренного обновления для неё не выпускают, но она затрагивает даже уже исправленные версии PHP и должна быть закрыта в очередном релизе. PHP2Shell поэтому важна не только администраторам сайтов. Она показывает новую реальность: искусственный интеллект снижает стоимость не только создания программ, текстов или изображений. Он снижает стоимость сложного знания.
И теперь вопрос безопасности звучит иначе: что ещё мы считали невозможным только потому, что человеку было слишком трудно это сделать?
