**AI нашёл дыру в PHP, которую люди не замечали 14 лет. И это только начало**
**AI нашёл дыру в PHP, которую люди не замечали 14 лет. И это только начало** GPT-5.6 Sol от OpenAI помогла обнаружить одну из двух критических уязвимостей в PHP — языке, на котором работает значительная часть интернета. Вторая была найдена независимо. Вместе они получили название PHP2Shell и оценку 9.2 из 10 по CVSS v4.0. Звучит как сюжет для блокбастера, но это уже реальность, с которой столкнулись администраторы по всему миру. **Что именно произошло** Две уязвимости, CVE-2026-109618 и CVE-2026-109619, — это ошибки в управлении памятью самого движка PHP, а не в коде какого-то конкретного приложения. Первая связана с некорректной обработкой ситуации out-of-memory (OOM): когда PHP не хватает памяти, он может начать работать с частично инициализированными данными, что ведёт к повреждению памяти. Вторая — это stale global state (устаревшее глобальное состояние) и use-after-free (использование после освобождения): PHP не сбрасывает внутреннее состояние после аварийного завершения запроса, и следующий запрос может обратиться к уже освобождённой памяти. Обе уязвимости позволяют злоумышленнику удалённо выполнить произвольный код (RCE) без какой-либо аутентификации. Самый высокий риск — для серверов на Apache с mod_php, где вредоносный запрос срабатывает ещё до того, как выполнится код приложения. Уязвимы также PHP-FPM, php-cgi, FrankenPHP и LiteSpeed. Уязвимости были исправлены в версиях **PHP 8.2.35, 8.3.36, 8.4.27 и 8.5.12**. Для веток 7.4, 8.0 и 8.1, которые уже не поддерживаются, PHP опубликовал минимальные патчи обратного портирования, а для 7.3 и более ранних официальных исправлений нет. **Как ИИ оказался в центре истории** По данным OpenAI, первая уязвимость была найдена в августе исследователем из компании Calif с помощью модели GPT-5.6 Sol в рамках инициативы Patch the Planet. Компания Wiz независимо обнаружила обе уязвимости, используя свои инструменты и модели, включая Gemini. Сам факт того, что ИИ-модель помогла найти критическую ошибку в таком распространённом языке, — это прецедент. Но важно понимать: Calif подчёркивает, что использовала общедоступные модели и что знание истории PHP сыграло не меньшую роль, чем сам ИИ. То есть это не «ИИ за пять минут нашёл всё», а скорее «ИИ ускорил аудит, который проводили специалисты». **Реакция и последствия** Уязвимости существовали в PHP около 14 лет; ещё в 2024 году были признаки проблемы, но тогда их не восприняли серьёзно. Утечка информации о готовящемся раскрытии произошла раньше срока, и PHP выпустил патчи на день раньше запланированного. Агентство национальной безопасности США, ФБР и ведомства ряда стран призвали срочно установить обновления или отключить уязвимые системы от сети. Cloudflare сообщила, что уже фиксировала попытки эксплуатации, а некоторые сервисы, включая Pinboard и форум GrapheneOS, временно отключали части своих сайтов. OpenAI также анонсировала пятиэтапную схему координированного раскрытия уязвимостей, найденных ИИ, и пообещала предоставить субсидированный доступ на $1 млрд к своему инструменту безопасности Daybreak для организаций с ограниченными ресурсами. 🛠 **Мнение DevGeek.IT:** История с PHP2Shell — это не просто «ИИ спас интернет». Это демонстрация нового правила игры: ИИ-модели становятся полноценным инструментом аудита безопасности, и их находки будут появляться всё чаще. OpenAI прямо говорит, что это только начало, и число подобных находок резко вырастет в ближайшие месяцы. С одной стороны, это хорошо — у защитников появляется шанс находить дыры раньше атакующих. С другой — это же означает, что и атакующие получат доступ к тем же моделям. Настоящий урок из этой ситуации простой: если вы всё ещё думаете, что «PHP — это небезопасно по определению», то вот вам уязвимость в самом движке, которая 14 лет ждала своего часа. Патчите серверы, не ждите, пока ИИ найдёт что-то ещё. **Источники:** gizmodo.com, cirt.gy, thenextweb.com, blackkite.com, mashable.com, ipa.go.jp.