NSA предупредило о критических уязвимостях PHP с 2004 года
Агентство национальной безопасности США предупредило о двух критических уязвимостях PHP, которые присутствовали во всех версиях языка начиная с PHP 5, выпущенной в 2004 году. PHP Foundation уже подготовила исправления, а NSA рекомендует временно отключать от интернета сайты, которые нельзя оперативно обновить. Актуальной версией PHP названа 8.5.12.
Чем опасны найденные ошибки
Уязвимости могут дать атакующему доступ к файловой системе сервера либо к базе данных, используемой веб-приложением. Риск затрагивает очень большую инфраструктуру: PHP применяется примерно на 70% сайтов в интернете и лежит в основе популярных систем управления контентом, включая WordPress.
WordPress уточнил, что проблема не относится к самому CMS напрямую. Владельцам сайтов на WordPress всё равно необходимо обновить серверное окружение и согласовать защитные меры с хостинг-провайдером, поскольку уязвимости находятся в PHP.
Особое внимание потребуется системам на PHP 8.1 и более старых ветках: эти версии больше не поддерживаются. Их обновление может потребовать предварительной проверки совместимости приложения, зависимостей и конфигурации, но оставлять неподдерживаемую среду без исправления небезопасно.
Как ИИ помог найти давние уязвимости
Одну из ошибок выявила компания Calif в рамках инициативы OpenAI Patch the Planet, используя GPT-5.6 Sol. Команда Wiz отдельно применила агента Wiz Atlas, Gemini 4 Argon и GPT-5.6 Sol и обнаружила несколько уязвимостей в PHP. До публичного раскрытия OpenAI и Wiz работали с разработчиками PHP над патчами и их тестированием.
В проверке и подготовке защиты участвовали Automattic, Akamai, AWS, Cloudflare, Fastly, Imperva, Microsoft и Vercel. Этот случай перекликается с тем, как ИИ помог взломать OpenAI через Claude демонстрирует возможность применять одну ИИ-систему для поиска слабых мест в другой, но в ситуации с PHP исследователи раскрыли находки ответственно до появления известных атак.
Окно для обновления быстро сокращается
OpenAI сообщила, что уязвимости были найдены исследователями раньше злоумышленников, и сообщений об их эксплуатации пока нет. Однако Wiz предупреждает: большие языковые модели способны помочь адаптировать эксплойт под разные версии PHP, конфигурации и схемы размещения памяти. После раскрытия информации этот барьер для атакующих становится ниже.
Бизнесу стоит немедленно составить перечень публичных PHP-сервисов, определить используемые версии и установить доступные патчи. Если безопасное обновление нельзя выполнить без задержки, рекомендация NSA однозначна: временно убрать сайт из публичного доступа до устранения риска.