👨💻Новые подробности вокруг PHP2Shell раскрыли роль ИИ-модели 👩💻GPT-5.6 Sol, масшт...
👨💻Новые подробности вокруг PHP2Shell раскрыли роль ИИ-модели 👩💻GPT-5.6 Sol, масштаб патча свыше 10 000 строк кода и атаки за четыре дня до релиза В официальном отчёте OpenAI компания раскрыла, что критическая уязвимость в PHP была найдена исследователями Calif с помощью ИИ-модели GPT-5.6 Sol в рамках инициативы Patch the Planet (параллельно обе проблемы независимо обнаружила и передала разработчикам команда Wiz), а к координации мер защиты критически важных систем вокруг PHP подключили спецгруппу Белого дома Super Intelligence Force, аппарат национального кибердиректора США (ONCD) и агентство CISA. Разработчики ИИ выпустили специальный навык в Codex для выявления потенциально уязвимых версий PHP и подбора обновлений, объявили о выделении субсидированного доступа к защитной платформе Daybreak на $1 млрд по программе Daybreak for Frontline Defenders и предупредили, что ↔️ PHP2Shell входит в ряд других серьёзных уязвимостей, которые компания уже обнаружила и сейчас помогает устранить, а в ближайшие месяцы ожидается резкий рост числа подобных находок.🥷🔎 Одновременно некоммерческая организация The PHP Foundation назвала собственным структурным провалом то, что исправление замеченной ещё при устранении замечаний аудита 2024 года ошибки нехватки памяти (OOM) буксовало из-за отсутствия доказанного вектора удалённого выполнения кода, споров вокруг обратной совместимости, затруднённого принятия решений на основе консенсуса и нехватки инженеров ядра, а также восстановила картину крушения эмбарго (которое изначально планировали снять 22 октября в 17:00 мск), когда вслед за сливом номеров CVE на форумах 20 октября около 18:00 мск и переносом релиза на сутки вперёд в 22:30 мск сама компания Calif около 23:00 мск по ошибке выложила демо-видео, а 21 октября в 10:41 мск поставщик Chainguard в одностороннем порядке опубликовал собранные образы с готовым патчем. Читаем: https://thephp.foundation/blog/2026/10/21/todays-php-security-release-and-how-were-strengthening-php-security/ Тревожные данные опубликовал директор по информационной безопасности (CISO) Amazon Integrated Security Си Джей Мозес в блоге AWS Security Blog, согласно которому сеть серверов-ловушек (ханипотов) MadPot подразделения Amazon Threat Intelligence зафиксировала 🥷первую попытку эксплуатации PHP2Shell с IP-адреса коммерческой сети анонимизации 103.216.220[.]92 ещё 17 октября, то есть за четыре дня до публичного раскрытия уязвимостей. В день релиза 21 октября в интервале с 05:00 до 11:00 мск сенсоры MadPot зафиксировали новые попытки атак различными вариантами PoC-эксплойтов с узлов 31.223.184[.]166, 37.19.200[.]5, 134.209.159[.]64, 103.114.163[.]188 и 95.217.98[.]37, что указывает на действия предположительно нескольких разных злоумышленников (хотя технический анализ продолжается и пока неясно, сработали бы эти ранние попытки против реальных систем), а в течение нескольких часов после снятия эмбарго в 17:00 мск появились новые PoC-эксплойты, которые практически сразу начали применять против ловушек компании, в связи с чем в AWS констатировали широкую эксплуатацию PHP2Shell в дикой природе. При этом в AWS особо предупредили специалистов SOC, что перечисленные IP-адреса относятся к общей инфраструктуре анонимизации, поэтому обращения с них следует расследовать, а не блокировать автоматически, тогда как проверку журналов веб-серверов необходимо начинать минимум с 17 октября с поиском POST-запросов со строкой