PHP2Shell не появился из ниоткуда. За два года до тревоги на этой неделе исследователь выявил уязвимость с той же первопричиной и сообщил, что PHP Foundation была уведомлена, однако исправление так и не было выпущено. Позднее фонд назвал этот промах «структурным сбоем», связанным с процессом принятия решений и нехваткой ресурсов.¹

К середине августа исследователи из Calif и принадлежащей Google компании Wiz с помощью инструментов ИИ, включая GPT-5.6 Sol от OpenAI, обнаружили две критические уязвимости PHP. Каждая из уязвимостей получила оценку 9,2 из 10 и могла позволить неаутентифицированному злоумышленнику удаленно выполнить код на PHP-сервере — пугающая перспектива для языка, используемого примерно 70% сайтов с известным серверным программированием.¹

Изначально это открытие выглядело победой защиты. OpenAI заявила: «Насколько нам известно, передовой ИИ обнаружил эти уязвимости раньше злоумышленников», — одновременно предупредив, что те же возможности могут помочь атакующим быстро создавать наступательные инструменты.² Эта двойственность стала центральным напряжением истории: ИИ выявил давно скрытую слабость, но раскрытие информации и исправления также могли дать злоумышленникам готовый план действий.

Во вторник Calif случайно опубликовала видео с демонстрацией эксплойта, ускорив релиз, который был запланирован на четверг. PHP Foundation выпустила исправления на 24 часа раньше, в среду. К тому времени на GitHub появился код, заявлявший об эксплуатации PHP2Shell, хотя фонд сообщил, что не видел доказательств работоспособного публичного эксплойта, и охарактеризовал распространяемый сгенерированный код как неполный или неработающий.¹

Правительства сочли риск непосредственным. АНБ призвало организации немедленно установить обновления или отключить системы; некоторые европейские государственные сайты временно перестали работать, пока операторы вели работы. Его предупреждение было недвусмысленным: эти уязвимости могут предоставить «прямой путь к файловой системе или базе данных сервера».²

Гонка, возможно, уже началась. Amazon сообщила, что зафиксировала попытку эксплуатации за четыре дня до публичного раскрытия и что уязвимости «теперь широко эксплуатируются в реальных атаках».² Коммерческие инструменты также быстро подключились к ответным мерам: Аравинд Шринивас заявил, что пользователи смогут получить кредиты для проверки подверженности PHP, рекламируя инструмент, который расставляет приоритеты для исправлений.Aravind Srinivas (AravSrinivas)³

Этот эпизод оставляет более сложный урок, чем простая установка обновлений PHP: ИИ может дать защитникам первый взгляд на следующий кризис, но он также сокращает промежуток времени до того, как все остальные догонят.