Скрытый изъян привел в состояние боевой готовности общую веб-инфраструктуру
Скрытый изъян привел в состояние боевой готовности общую веб-инфраструктуру
PHP, серверный движок, на котором работает около 70% всех веб-сайтов, включая многие сайты на WordPress, недавно выявил две критические уязвимости. Когда изъян обнаруживается в общей инфраструктуре, такой как PHP, это одновременно ставит под угрозу огромные сегменты интернета, затрагивая миллионы операторов, а не отдельные изолированные случаи.
Эти две критические уязвимости повреждения памяти, зарегистрированные как CVE-2026-109618 и CVE-2026-109619, позволяют выполнить Remote Code Execution (RCE). Команды безопасности оценили их в 9,2 балла из 10 по шкале CVSS v4.0, что указывает на возможность злоумышленника получить контроль над сервером веб-сайта без аутентификации. Этот риск относится к серверам, работающим на PHP, но не означает, что каждый сайт на PHP был скомпрометирован.
Инициатива OpenAI «Patch the Planet», в которой участвуют такие компании, как Calif и Wiz, обнаружила эти изъяны, остававшиеся незамеченными более десяти лет. После ранней утечки команда PHP ускорила выпуск экстренных исправлений 21 октября, выпустив версии 8.5.12, 8.4.27, 8.3.36 и 8.2.35.
Правительства и ведомства отреагировали срочными рекомендациями. Киберподразделение ФБР, АНБ и National Cyber Security Centre (NCSC) Великобритании рекомендовали немедленное обновление или отключение систем, если обновление невозможно. Премьер-министр Японии Санаэ Такаити лично призвала к действиям в X, а правительства Нидерландов, Финляндии и Франции, как сообщается, отключили некоторые сервисы в качестве меры предосторожности.
Самым слабым звеном может оказаться сайт, который никто не поддерживает
Скомпрометированные небольшие сайты, такие как старый форум или локальная система бронирования, представляют особую опасность. Эти платформы часто хранят личные данные — имена, адреса, электронную почту и даже пароли, и взлом может привести к раскрытию этой конфиденциальной информации. Хотя конкретных случаев взлома из-за этой уязвимости подтверждено не было, потенциал для утечки сохраняется.
Проблема «длинного хвоста» усугубляет этот риск. В то время как поддерживаемые ветки PHP получили критические исправления, по оценкам, 46,1% сайтов (согласно выборке) могут работать на устаревших версиях PHP, которые никогда не получат патчей. Эти неподдерживаемые установки становятся постоянными уязвимостями, подобно тому, как если бы вы оставили заднюю дверь незапертой на неопределенный срок.
Пользователи могут предпринять практические шаги для защиты своих данных. Используйте уникальные, сложные пароли для каждой учетной записи в интернете, желательно управляя ими с помощью password manager. Включите многофакторную аутентификацию везде, где это возможно, чтобы добавить дополнительный уровень безопасности.
Будьте бдительны в отношении подозрительных электронных писем или сообщений, которые могут пытаться использовать опасения по поводу утечек данных. Если у вас есть опасения по поводу конкретного веб-сайта, свяжитесь с его оператором напрямую, чтобы узнать о мерах безопасности и обновлениях PHP.
ИИ нашел ошибку; часы начали тикать
Анализ кода с помощью ИИ помог исследователям обнаружить тонкие изъяны в PHP. Инициатива OpenAI «Patch the Planet» наряду с независимой работой охранных фирм Wiz и Calif выявила две критические уязвимости Remote Code Execution (RCE). Calif использовала модель GPT-5.6 Sol от OpenAI, в то время как Wiz применила анализ с поддержкой ИИ для обнаружения обеих ошибок, которые оставались незамеченными более десяти лет.
Это раннее обнаружение обеспечило критически важное преимущество в защите. Оно дало сопровождающим PHP, исследователям безопасности и таким компаниям, как OpenAI, двухмесячное окно для проверки уязвимостей, координации раскрытия информации и подготовки исправлений до того, как подробности станут достоянием общественности. Такой контролируемый подход является стандартной практикой, предотвращающей использование известных уязвимостей злоумышленниками до того, как будут готовы исправления.
Однако этот прогресс также подчеркивает риск двойного назначения. Хотя ИИ ускоряет обнаружение уязвимостей в целях защиты, он в равной степени дает злоумышленникам возможность находить слабые места. Ранняя утечка подробностей об уязвимости, за которой последовали сообщения о быстром сканировании со стороны злоумышленников, значительно сократила преимущество защитников. Подробнее о скоординированном реагировании читайте в статье Today's PHP Security Release, and How We're Strengthening PHP Security.
Эти уязвимости, оцененные в 9,2 балла из 10 по шкале серьезности, затрагивают почти все основные релизы PHP за последнее десятилетие, включая версии 8.5.12, 8.4.27 и 8.3.36. Усилия по быстрому исправлению подчеркивают необходимость срочного устранения уязвимостей, обнаруженных с помощью ИИ, в широком масштабе.
Нравится статья? Получайте такие каждое утро на почту.
одно письмо в день · отписка в два клика · без сторонних трекеров
Исправление необходимо срочно; более серьезная проблема носит постоянный характер
Первоочередная задача для операторов: определить версии PHP и применить исправленные релизы, такие как 8.5.12, 8.4.27, 8.3.36 и 8.2.35. Но одного исправления недостаточно; необходимо изучить предыдущий доступ, чтобы убедиться, что злоумышленники еще не скомпрометировали системы, — об этом предупредил Киберподразделение ФБР.
Этот инцидент подчеркивает структурную проблему: Интернет опирается на устаревшее программное обеспечение, такое как PHP, которое широко используется в производстве уже почти 30 лет. Ограниченные ресурсы на поддержку и огромная сложность обновления разветвленной децентрализованной сети означают, что уязвимости могут сохраняться более десятилетия.
Более широкий вывод очевиден: ИИ может усилить безопасность, но защитникам нужны более быстрое исправление, надежная поддержка устаревших систем и скоординированное раскрытие информации, чтобы идти в ногу со временем. Как отметили Cloudflare и watchTowr, автоматизированное массовое сканирование и активный поиск эксплойтов начались через несколько часов после утечки информации об уязвимостях, что подчеркивает острую необходимость в более гибкой защите.
Часто задаваемые вопросы
Какие уязвимости PHP были обнаружены с помощью ИИ?
Исследователи, использующие анализ с поддержкой ИИ, обнаружили две критические уязвимости в PHP, которые могут позволить удаленное выполнение кода на уязвимых серверах.
Затрагивают ли эти уязвимости PHP обычных пользователей интернета?
Пользователи не исправляют PHP самостоятельно, но уязвимые веб-сайты могут раскрыть хранимую личную информацию. Повторное использование паролей может повысить риск для других учетных записей.
Что должен сделать владелец веб-сайта?
Проверить, работает ли сайт на затронутой версии PHP, установить соответствующее обновление безопасности и просмотреть журналы сервера на предмет признаков компрометации.
Почему обнаружение уязвимостей с помощью ИИ имеет значение?
ИИ может помочь исследователям изучать сложный код и быстрее находить скрытые недостатки, предоставляя защитникам новые инструменты, но при этом повышая ставки, если злоумышленники используют аналогичные возможности.