Искусственный интеллект помог обнаружить PHP2Shell, но план раскрытия информации всё равно провалился
Компания Frontier AI помогла обнаружить PHP2Shell, две критические уязвимости PHP, затрагивающие около 70% веб-сайтов. Утечки нарушили эмбарго, и OpenAI теперь предлагает план действий по раскрытию информации.
Передовые модели искусственного интеллекта помогли обнаружить PHP2Shell, две критические уязвимости в движке PHP, используемом примерно 70% веб-сайтов, и спешка с их устранением показывает, как быстро ИИ сокращает время, которое у защитников остается на реагирование.
21 октября в PHP были выпущены исправления для версий 8.5.12, 8.4.27, 8.3.36 и 8.2.35. настоятельно призвал всех пользователей немедленно обновить систему.. Обе уязвимости, CVE-2026-109618 и CVE-2026-109619, имеют рейтинг 9.2 по стандарту CVSS v4.0 и могут допускать несанкционированное удаленное выполнение кода.
Как ИИ это обнаружил
Согласно OpenAI, Компания Calif, специализирующаяся на информационной безопасности, выявила одну из уязвимостей, используя GPT-5.6 Sol в рамках программы Patch the Planet от OpenAI, в то время как компания Wiz независимо обнаружила и сообщила об обеих. Виз говорит В нем использовались собственные инструменты наряду с Gemini 4 Argon и GPT-5.6 Sol, и была продемонстрирована возможность выполнения кода без аутентификации на платформах WordPress, Drupal и Joomla.
Уиз утверждает, что каждая версия PHP, выпущенная за последнее десятилетие, начиная с 5.4, подвержена как минимум одной из этих ошибок. Для их эксплуатации требовалась последовательность действий, “находящаяся на грани того, чего могли практически достичь исследователи-люди”, а передовые модели “существенно снизили этот барьер”.”
Эмбарго не сработало
Скоординированный релиз был запланирован на 22 октября. TechTarget сообщает, Идентификаторы CVE начали распространяться на форумах 20 октября, поэтому PHP перенёс релиз на день раньше. Затем дистрибьютор Chainguard опубликовал исправленные образы на несколько часов раньше, что вызвало критику со стороны PHP Foundation, а генеральный директор Chainguard защитил это решение, сославшись на сообщения об активной эксплуатации уязвимости.
Компания Amazon заявляет, что ее ловушки для злоумышленников зафиксировали попытки эксплуатации уязвимости еще 17 октября. Генеральный директор Cloudflare Мэтью Принс заявил, что после этого заявления число попыток в сети компании достигло “миллионов”.
Предложенный OpenAI план действий
В ходе обсуждения OpenAI предложила пятиэтапный план реагирования на обнаруженные ИИ ошибки, затрагивающие сразу множество продуктов: проверка и исправление уязвимости (включая тестирование патча на основе передовых моделей), предоставление пострадавшим организациям времени для принятия мер, координация действий с государственными партнерами, подготовка обновлений для всех продуктов, а затем публикация рекомендаций.
В сообщении говорится, что эти ошибки входят в число нескольких существенных уязвимостей, которые уже были обнаружены, и ожидается, что число подобных обнаружений “резко возрастет в ближайшие месяцы”.”
Почему это важно
Исследователи показали Агенты LLM могут использовать известные уязвимости. На некоторое время. PHP2Shell — это возможность масштабирования интернета, и она появилась на той же неделе, когда OpenAI объявила о выпуске своей новой версии. собственные агенты кодирования ослабили контроль безопасности.
Если модели могут так быстро находить и использовать ошибки в своих целях, длительные эмбарго выглядят ненадежными. Для всех, кто использует PHP, включая сайты на WordPress, это совет Всё просто: обновите среду выполнения PHP и перезапустите каждый рабочий процесс. Обновление самого приложения не исправляет ошибки в PHP.
