Эксперты сообщили об угрозе для сайтов Рунета из-за найденной ИИ «дыры»

В Рунете из-за критических уязвимостей в PHP под угрозой могут оказаться десятки тысяч сайтов. Об этом РБК сообщил руководитель центра разработки больших языковых моделей MWS AI (входит в МТС Web Services) Валентин Малых. 21 октября в Европе после обнаружения двух критических уязвимостей PHP временно отключили ряд сайтов госорганов, больниц и других организаций. Одну из ошибок нашли с помощью ИИ-модели GPT-5.6 Sol. Сайты приостанавливали работу в качестве меры предосторожности: уязвимости позволяют злоумышленникам удаленно запускать код на сервере.

PHP используется для создания сайтов, в том числе на системах управления содержимым «1С-Битрикс» и WordPress, отметил Малых. Он сравнил язык с «Тришкиным кафтаном», указав на регулярно обнаруживаемые уязвимости. «Основная проблема заключается в том, что, как правило, на PHP уязвимости закрываются очень долго», — сказал эксперт. Для защиты необходимо обновить программу, которая выполняет PHP-код на сервере. По словам Малых, сложность зависит от устройства конкретного ресурса: «Это может быть не так просто для самописного сайта, а для блог-платформ это напрямую зависит от владельцев платформ. Будем надеяться, что они оперативно отреагируют».

Бизнес-партнер по инновационному развитию ГК «Гарда» Лука Сафонов рассказал РБК, что во второй половине дня 21 октября крупные российские хостинг-провайдеры начали уведомлять пользователей об угрозе. До выхода обновлений многие сайты приостановили работу или отключили, исправления появились около 17:00 мск. «В России огромное количество сайтов и приложений написаны на PHP, поэтому уязвимость потенциально могла затронуть десятки, а то и сотни тысяч ресурсов Рунета», — оценил Сафонов. Он подчеркнул, что проблема находится в самом PHP, поэтому обновления системы управления сайтом недостаточно: «Обновление WordPress, Drupal, Joomla или другой CMS проблему не решает — менять нужно именно PHP. Под угрозой даже самый простой код на уязвимой версии».

По словам Сафонова, одна из ошибок возникает при нехватке памяти и позволяет выполнить код на сервере. Другая связана с сохранением состояния между запросами и может привести к утечке данных из памяти, включая пароли, токены сессий, ключи доступа и сертификаты. Такие утечки трудно обнаружить. До установки исправлений защиту могут обеспечить WAF — фильтры, отсеивающие вредоносные запросы до их поступления на сайт, но механизм работает только при отсутствии прямого доступа к серверу в обход фильтра. «Искусственный интеллект в последнее время все чаще находит уязвимости, которые существовали годами и до сих пор просто не попадались на глаза. Появился инструмент, который умеет смотреть глубже и быстрее», — сказал эксперт. Сафонов ожидает «серьезной волны атак» и призвал незамедлительно обновить PHP, перезапустить веб-сервер и фоновые обработчики, проверить серверы на признаки взлома и сменить пароли, ключи и токены.

Ведущий эксперт по управлению уязвимостями Positive Technologies Александр Леонов сообщил РБК, что обнаруженные ошибки получили оценку 9,2 из 10 по шкале CVSS 4.0. «С их помощью злоумышленники могут удаленно запускать свой код на сервере без аутентификации», — пояснил Леонов. Проблема затрагивает разные способы запуска PHP, включая PHP-FPM и Apache с mod_php. Cloudflare уже фиксирует первые признаки атак, а в открытом доступе распространяется код для эксплуатации уязвимостей. «Главная рекомендация — как можно скорее обновить PHP. В бюллетене описаны и компенсирующие меры, но они лишь снижают риск некоторых видов атак. Полноценное решение — только обновление», — подчеркнул Леонов.

По данным W3Techs на 21 октября, PHP используют 90,9% русскоязычных сайтов, серверный язык которых удалось определить, в мире доля составляет 69,3%. После выявления двух критических ошибок в PHP в Европе временно отключили ряд сайтов: меры затронули Германию, Францию, Бельгию, Нидерланды и Финляндию. Среди отключенных ресурсов — сайты французских префектур, порта Роттердама, правительственный портал Нидерландов Overheid.nl и национальная футбольная ассоциация KNVB. В Германии сообщили об отсутствии сведений об инцидентах безопасности, финский государственный ИТ-центр Valtori заявил, что не зафиксировал попыток эксплуатации уязвимостей и что отключение не связано с утечкой данных. Одну из ошибок компания Calif обнаружила с помощью модели GPT-5.6 Sol в рамках инициативы Patch the Planet, сообщила OpenAI. Принадлежащая Google компания Wiz независимо выявила обе уязвимости и уведомила разработчиков. По данным OpenAI, исследователи около двух месяцев координировали подготовку исправлений до публичного раскрытия информации.