Корни этой чрезвычайной ситуации уходят на годы назад. Об одной из основных проблем сообщили PHP Foundation в 2024 году, но исправления не последовало; позднее фонд назвал этот промах «структурным сбоем» в своём процессе обеспечения безопасности.¹ Уязвимости оставались скрытыми в PHP — веб-языке, используемом примерно 70% сайтов, — отчасти потому, что их эксплуатация требовала необычайно сложной цепочки технических действий.

Ситуация изменилась в середине августа, когда исследователи из Калифорнии, использовавшие GPT-5.6 Sol от OpenAI, и отдельная команда Wiz, применявшая инструменты ИИ, обнаружили две критические уязвимости, позднее получившие название PHP2Shell. Эти ошибки могли позволить удалённое выполнение кода без аутентификации — фактически дав злоумышленнику возможность захватить сервер, получить доступ к данным или изменить сайт без пароля. OpenAI представила результат как доказательство того, что «передовой ИИ обнаружил эти уязвимости раньше атакующих», одновременно признав, что те же возможности могут быстро создавать наступательные инструменты.²

Это преимущество в защите исчезло на этой неделе. Во вторник по ошибке было опубликовано видео с демонстрацией концепции, подробности распространились в интернете, и PHP перенесла запланированный на четверг выпуск патча на среду. NSA призвало операторов немедленно установить обновления или отключить системы; государственные сайты в Европе, а также сервисы от Internet Archive до старых игр временно перестали работать. Amazon заявила, что за четыре дня до публичного раскрытия видела попытку эксплуатации, и предупредила, что уязвимости «широко эксплуатируются в реальных атаках».³

В этом и состоит ключевое противоречие: ИИ, возможно, обнаружил опасность раньше преступников, но он также значительно ускоряет её воспроизведение. Исследователи в области безопасности говорят, что прежний многонедельный цикл разработки эксплойтов резко сократился; владельцы сайтов теперь сталкиваются с жёстким выбором между быстрыми обновлениями и простоями. Для обычных пользователей непосредственный риск носит косвенный характер — скомпрометированные сервисы могут раскрыть учётные данные и платёжную информацию, — поэтому эксперты советуют использовать уникальные пароли, двухфакторную аутентификацию и следить за уведомлениями об утечках.⁴

Пока продолжалась гонка по установке патчей, ИИ-компании также превратили инцидент в рынок устранения последствий. Аравинд Шринивас заявил, что Computer предлагает кредиты на проверку PHP-сайтов и конфигураций развёртывания GitHub на предмет подверженности риску, подчёркивая, как автоматизированное сканирование становится частью как ответа на угрозу, так и самой угрозы.Aravind Srinivas (AravSrinivas)⁵