Вчера я вместо вечерних новостей полез проверять версию PHP на своих сайтах. Не потому ...
Вчера я вместо вечерних новостей полез проверять версию PHP на своих сайтах. Не потому что люблю технические детали, а потому что впервые за долгое время новость про уязвимость задела лично. 21 октября команда PHP выпустила внеплановые обновления: 8.5.12, 8.4.27, 8.3.36 и 8.2.35. Они закрывают две критические уязвимости, CVE-2026-109618 и CVE-2026-109619, которые позволяют выполнить свой код на сервере без логина и пароля. По шкале CVSS обе оценили в 9,2 из 10. Но зацепило меня другое. Дыры нашли не аудиторы, а ИИ. Исследователи Wiz применили языковые модели, среди них Gemini 4 Argon, и обнаружили ошибку, которая жила в PHP как минимум с версии 5.4. Это примерно с 2012 года. Четырнадцать лет. Код, на котором работает большая часть интернета, годами носил в себе дыру размером с дверь, и её не находили ни аудиты, ни миллионы разработчиков, которые каждый день смотрят в этот код. По данным W3Techs, PHP используют 69,3% сайтов, у которых вообще известен серверный язык. То есть речь не про абстрактный риск, а про инфраструктуру, на которой живут и лендинги, и интернет-магазины. В день раскрытия в Нидерландах несколько организаций на всякий случай отключили сайты. Среди них оказался и сайт Палаты представителей. Агентство по кибербезопасности ЕС выпустило совместное заявление: обновляйтесь немедленно, а если не можете, изолируйте приложения от публичной сети. Вот что меня зацепило в этой истории. Мы второй год обсуждаем, заменит ли ИИ разработчиков и SEO-специалистов. А пока он тихо заменил целый отряд аудиторов кода: то, на что уходили месяцы ручной работы, модель проходит быстрее. И это палка о двух концах. Те же инструменты, что помогают защищаться, завтра будут в руках тех, кто ищет дыры. Разница только в том, кто обновился раньше. Для себя я вынес три простые вещи, которые почему-то до сих пор делают не все. Смотреть, какая версия PHP стоит на сервере и не кончилась ли у неё поддержка. Проверять сайты клиентов, а не только свои. И держать свежий бэкап, который реально можно развернуть. Потому что самая большая угроза от ИИ, как выяснилось, не в том, что он заменит человека. А в том, что человек вовремя не нажал кнопку «обновить». А вы знаете, какая версия PHP работает на вашем сайте? Если нет — это лучший повод проверить сегодня же. Поделитесь, как у вас выстроен процесс обновлений: вручную, по чек-листу или вообще на автопилоте?