Национальное агентство безопасности США предупредило о двух критических уязвимостях в PHP. Разработчики уже выпустили исправления, однако ведомство рекомендовало временно отключить сайт от интернета, если установить обновление сразу невозможно. Об угрозе NSA сообщило в среду, а PHP Foundation подготовила патчи.
PHP — серверный язык программирования, который используется примерно на 70% сайтов в интернете, то есть более чем на 33 млн ресурсов. На этой технологии работают и популярные системы управления контентом, включая WordPress. Обнаруженные проблемы позволяют получить доступ к файловой системе сервера или к базе данных, которую использует веб-приложение.
Уязвимости присутствовали во всех версиях PHP начиная с ветки 5, выпущенной в 2004 году. Версии PHP 8.1 и более ранние больше не поддерживаются, поэтому владельцам устаревших сайтов потребуется обновление. Рекомендуется перевести сервер на актуальный PHP 8.5.12.
Выявить проблемы помогли инструменты искусственного интеллекта. Компания Calif участвовала в инициативе OpenAI «Patch the Planet», направленной на поиск ошибок в программном обеспечении с открытым исходным кодом, и с помощью GPT‑5.6 Sol обнаружила одну из уязвимостей. Отдельно команда Wiz нашла несколько проблем в PHP, применив ИИ-агент Wiz Atlas, Gemini 4 Argon и GPT-5.6 Sol.
OpenAI и Wiz сначала передали сведения разработчикам PHP и вместе подготовили и проверили исправления, а затем раскрыли информацию публично. В работе также участвовали Automattic, Akamai, AWS, Cloudflare, Fastly, Imperva, Microsoft и Vercel, которых поблагодарила Wiz. WordPress подчеркнула, что проблема не связана непосредственно с самой системой: владельцам сайтов на этом движке необходимо обновить серверы и связаться с хостинг-провайдерами.
По данным OpenAI, до публикации сведений злоумышленники не успели воспользоваться уязвимостями. Однако после раскрытия информации хакеры получили возможность изучить проблему, а искусственный интеллект способен упростить адаптацию эксплойтов под разные версии PHP, конфигурации и схемы размещения данных. «С ИИ это больше не является препятствием. Большие языковые модели могут помочь адаптировать эксплойт к разным версиям PHP, конфигурациям и схемам памяти», — предупредила Wiz в своём блоге. Поэтому NSA призвало как можно быстрее обновить десятки миллионов сайтов, а при отсутствии такой возможности — отключить их до установки патчей.