На протяжении многих лет повсеместное распространение PHP было почти незаметно для людей, просматривающих веб-страницы. Затем исследователи, использовавшие ИИ и работавшие с инструментами OpenAI и Google, обнаружили серьёзные давние слабости в языке сценариев, который используется примерно на 70% сайтов.¹

Это открытие превратило привычную задачу по сопровождению программного обеспечения в чрезвычайную ситуацию. На прошлой неделе две критические ошибки заставили организации поспешно исправлять затронутые системы; некоторые отключили сайты, предпочтя это риску оставить их уязвимыми, пока готовились патчи.² Масштаб реакции отражал не только охват PHP, но и тревожную возможность того, что широко развёрнутый устаревающий код может содержать уязвимости, которые просто оставались незамеченными.

Исследователи и команда PHP вместе с OpenAI, Wiz и исследовательской группой Calif координировали исправления. Но инцидент также показал ограничения этой модели. Томeр Шварц, технический директор Wiz по управлению рисками и AppSec, заявил, что компания «не смогла бы найти эти ошибки без ИИ» после того, как специализированный инструментарий за выходные проверил десятки возможных идей.²

Именно эта скорость создаёт ключевое противоречие. ИИ может дать защитникам мощный способ проверять старый код, но также способен ускорить обнаружение — и потенциально эксплуатацию — новых уязвимостей. Согласно описанию ответных мер, одна из ошибок PHP находилась «на виду более десяти лет», прежде чем изменившиеся условия сделали её эксплуатируемой.²

Для операторов сайтов ближайший вывод менее футуристичен: своевременно устанавливайте патчи и проверяйте, действительно ли обновлено программное обеспечение, лежащее в основе сайта. Для индустрии безопасности тревога вокруг PHP стала более суровым уроком. Ручное исправление не может масштабироваться, если машины начинают находить уязвимости по всему интернету со скоростью машин.¹