Исследователи из Calif и Wiz компании Google выявили две критические уязвимости в PHP — веб-языке, лежащем в основе примерно 70% сайтов, — используя сочетание передовых инструментов ИИ. Ошибки, годами присутствовавшие в кодовой базе PHP, могли позволить неаутентифицированному злоумышленнику выполнить код на сервере и получить доступ к файлам или базам данных.¹

Изначально это открытие представили как пример того, что ИИ первым добрался до ошибки. OpenAI заявила, что передовые модели обнаружили уязвимости раньше злоумышленников и помогли исследователям проверить исправления. Однако компания также предупредила, что те же возможности могут помочь атакующим быстро создавать инструменты для атак — это противоречие лежит в центре ответных мер.²

Ко вторнику эти меры уже оказались под давлением. Согласно сообщениям, в интернете ненадолго появилось видео с демонстрацией цепочки эксплуатации, что ускорило запланированный PHP Foundation выпуск патчей на один день. В среду патчи были выпущены, а NSA призвало организации, использующие PHP, немедленно обновиться или отключить затронутые системы от сети.³

Это предупреждение вызвало перебои в работе, поскольку правительства и другие операторы в Европе и США временно отключали сайты для установки обновлений. Премьер-министр Японии Санаэ Такаити в тот вечер призвала к действиям и заявила, что при невозможности оперативного исправления риск можно снизить, приостановив работу сайтов.⁴

Наиболее важный спор касается того, не проиграна ли эта гонка уже в некоторых местах. Amazon заявила, что обнаружила попытку эксплуатации за четыре дня до публичного раскрытия и что уязвимости «сейчас широко эксплуатируются в реальных атаках».⁵ Однако PHP Foundation сообщила, что не видела доказательств наличия работающих эксплойтов — лишь неполный или неработающий сгенерированный код.³

Пока компании спешат принять меры, подключаются и коммерческие инструменты: Аравинд Шринивас заявил, что пользователи могут получить кредиты для проверки PHP-систем и конфигураций развертывания GitHub на подверженность риску.Aravind Srinivas (AravSrinivas)⁶ Непосредственная задача обыденна, но огромна: быстро установить патчи или уйти в офлайн.