История про то, как ИИ взломал PHP
История про то, как ИИ взломал PHP 21 октября PHP, язык, на котором написано супер много сайтов в мире выпускает срочный фикс. Причина простая: нашли 2 критические уязвимости, которые назвали PHP2Shell. Для понимание критичности: из-за этой уязвимости можно взломать сервер без логина и пароля. Проблема оказалась в самом движке PHP. Если ему не хватает памяти при обработки запроса, он оставляет за собой сломанную запись. Она указывает на мусор в памяти. Второе, это то, что данные одного посетителя не до конца стираются и могут достаться следующему. Короче, зная про это можно вытащить чужие пароли, токены и все, что позволяет забирать чувствительные данные. Естественно эти уязвимости нашли с помощью агентов. Одна модель GPT-5.6 Sol, другая Gemini. А из-за того, что новость утекла раньше времени, начали выключать на ВСЯКИЙ СЛУЧАЙ по всему миру (особенно правительственные и финансовые): Британия, Финляндия, Нидерланды, Штаты. День в сети назвали Черным Октябрем. Потому что начались тысячи атак до обновления ПХП, и миллионы после. По данным Cloudflare. И пока мы смеемся над PHP, для JS тоже есть свои приколы В JS память за вас чистит сборщик мусора, и про такие ошибки можно не думать. Но сам Node.js написан на C++, а там такие ошибки ещё как бывают. Из-за этой новости в тот же день Node закрыл 10 уязвимостей, 4 из них серьёзные. Одна позволяла запустить чужой код через сжатие данных. Её тоже нашли с помощью агентов. В итоге получается, что раньше от обнов до атак проходили дни, а теперь сами обновления как рэд флаг для агентов и спойлер: смотришь, что исправили, просишь агента и получаешь гипотезу для атаки. Кстати, проверьте версию Node на проде. Текущие безопасные версии: 22.23.4, 24.22.1 и 26.12.1 🫶