Апокалипсис PHP: OpenAI и Google Wiz нашли древние уязвимости, вызвав панику в интернете

Главный смысл: Агентство национальной безопасности США (АНБ) предупредило о двух критических уязвимостях в PHP. Это язык, на котором работает большая часть сайтов в интернете, а уязвимости, по данным TechCrunch, тянутся ещё с PHP 5 (2004 год). Обе дыры нашли с помощью ИИ: исследователи, работающие с OpenAI, и команда Wiz из Google. Этот случай показывает, что ИИ уже находит в старом коде проблемы, которые люди не замечали двадцать лет.

• Масштаб. По данным W3Techs, PHP используют около 70 % сайтов. Оценка «более 33 млн сайтов» взята из поста на Medium и надёжно не подтверждена. Уязвимости, как сообщается, дают доступ к файловой системе сервера или к базе данных веб-приложения. АНБ советует отключить сайты, которые нельзя обновить сразу, до установки обновления.
• Кто нашёл. Одну уязвимость нашла компания Calif с помощью GPT-5.6 Sol. Она участвует в программе OpenAI Patch the Planet, которая проверяет открытое ПО. Команда Wiz, по её словам, нашла несколько уязвимостей с помощью своего агента Wiz Atlas, Gemini 4 Argon и того же GPT-5.6 Sol.
• Исправления. PHP Foundation уже выпустила обновления, рекомендуемая версия — 8.5.12. Ветки 8.1 и старше больше не поддерживаются, поэтому многим придётся переходить на новую версию, а не просто ставить заплатку. По словам OpenAI и Wiz, разработчиков PHP предупредили заранее, а обновления проверили вместе с Cloudflare, AWS, Microsoft, Akamai, Fastly, Vercel, Automattic и Imperva.
• WordPress. Там подчеркнули, что проблема не в самой WordPress. Владельцам сайтов нужно обновить PHP на сервере вместе со своим хостингом.

Что дальше: Атак через эти уязвимости, по заявлению OpenAI, пока не зафиксировано. Но это слова самих компаний, независимого подтверждения нет. В статье нет номеров уязвимостей (CVE), оценок опасности и технических подробностей. Wiz предупреждает, что ИИ упрощает и создание атак: языковая модель может подогнать эксплойт под разные версии и настройки PHP. Поэтому важнее всего, как быстро хостинги обновят серверы. Опаснее всего самая многочисленная группа: заброшенные сайты на неподдерживаемых версиях PHP. Стоит также следить, займутся ли ИИ-лаборатории так же массово другими старыми проектами с открытым кодом.