В середине августа исследователи из ИИ-компании Calif и принадлежащей Google компании Wiz выявили две серьёзные уязвимости в PHP — языке с многолетней историей, который используется примерно на 70% сайтов с известным серверным программированием. Ошибки могли позволить удалённое выполнение кода без аутентификации — фактически давая злоумышленнику возможность запускать код на уязвимом сервере. Calif использовала GPT-5.6 Sol от OpenAI; Wiz применяла сочетание ИИ-инструментов. ¹

Опасность заключалась не только в уязвимости PHP, но и в том, что слабое место, предположительно существовавшее около двух десятилетий, стало намного проще превратить в средство атаки. Wiz заявила, что эксплуатация ранее требовала «исключительно сложной последовательности действий», находившейся на грани возможностей исследователей-людей. ² Эксперты по безопасности теперь утверждают, что ИИ сократил прежний запас времени между раскрытием информации и атакой: исследователь Tolmo Мэтт Сюиш сообщил, что его команда создала рабочий эксплойт менее чем за день — задача, которая раньше могла занять недели. ¹

Затем гонка вокруг раскрытия информации ускорилась. Подробности утекли в интернет до запланированной публикации, Calif ненадолго разместила видео с демонстрацией концепции, а PHP Foundation перенесла выпуск патча на день раньше. Amazon Threat Intelligence уже зафиксировала попытку эксплуатации несколькими днями ранее; позднее Cloudflare сообщила, что число атак выросло с тысяч до раскрытия информации до миллионов после него. ³

К среде и четвергу защитные меры стали заметны обычным пользователям. Власти Финляндии, Нидерландов, Великобритании, Германии и Японии отключали сервисы или призывали компании сделать это; предприятия и платформы последовали их примеру, пока устанавливались патчи. Для крупных организаций один консультант малого бизнеса назвал сбой «небольшим препятствием»; для небольших компаний простои длились до семи часов. ⁴

Общее мнение сводилось к тому, что сначала нужно установить патчи, но не паниковать. PHP Foundation заявила, что не располагает доказательствами успешного удалённого выполнения кода, тогда как Dataminr сообщила о сканировании и неработающих эксплойтах, а не об известных компрометациях. ⁵ Однако перед устаревшими сайтами стоит более сложный выбор: неподдерживаемые версии PHP могут не получить официальных исправлений, что грозит их окончательным исчезновением. На фоне этой спешки Аравинд Шринивас рекламировал бесплатные кредиты для автоматизированной проверки подверженности PHP — ещё один признак того, что ИИ становится частью набора средств для устранения проблем, а также модели угроз. Aravind Srinivas (AravSrinivas)⁶