ИИ нашел «дыры» в PHP: что это и чем опасно для пользователей интернета

PHP (Hypertext Preprocessor, «гипертекстовый препроцессор») — язык программирования, широко используемый для создания веб-сайтов. Он возник в начале 1990-х, а его название изначально расшифровывалось как «Personal Home Page» («личная домашняя страница»). PHP встроен в такие CMS, как WordPress, Drupal, Joomla, Magento и «1С-Битрикс».

Согласно данным W3Techs, на PHP работают 90,8% сайтов с контентом на русском языке и 69,3% сайтов в мире. Среди них — Wikipedia, Flickr, Tumblr, Slack, MailChimp, Facebook (принадлежит Meta, компания признана экстремистской и запрещена в России), а также сайты Белого дома и NASA. Потенциальные последствия любой критической уязвимости PHP могут быть огромными, пишет Reuters.

Две критические уязвимости в PHP были обнаружены благодаря искусственному интеллекту. Одну из них, по информации OpenAI, с помощью модели GPT-5.6 Sol в рамках инициативы Patch the Planet еще в июле выявили исследователи из компании Calif, специализирующейся на защите цифровой инфраструктуры. Обе уязвимости независимо выявила и компания Wiz, принадлежащая Google.

В OpenAI заявили, что работа над устранением слабых мест PHP, которые, как отмечает Би-би-си, не замечали более десяти лет, велась в течение двух последних месяцев. «Учитывая серьезность этих уязвимостей и распространенность PHP, мы считаем их одной из наиболее значимых проблем безопасности за последнее время», — сказали в компании. Случай с PHP, добавили там, показывает, что ИИ может как выявлять уязвимости в интернете, так и быть использован с целью нанесения вреда.

Киберподразделение ФБР предупредило, что уязвимости создают возможность удаленного запуска кода на сервере, из-за чего возрастает риск утечки конфиденциальных данных, пишет Associated Press. Среди таких данных могут оказаться пароли, токены сессий, ключи доступа и сертификаты из соседних запросов, пояснил бизнес-партнер по инновационному развитию компании «Гарда», технический директор «Гарда WAF» Лука Сафонов.

21 октября разработчики PHP выпустили обновления до версий 8.5.12, 8.4.27, 8.3.36 и 8.2.35 с исправлением двух критических уязвимостей, получивших название PHP2Shell, и призвали пользователей обновиться «прямо сейчас». Технический директор Cloudflare Дейн Кнехт сообщил в тот же день о выявлении первых признаков атак хакеров и допустил, что ИИ и дальше будет находить подобные ошибки в повсеместно используемом ПО. Генеральный директор Cloudflare Мэттью Принс сообщил в ночь на 22 октября по мск, что уязвимости PHP пытались эксплуатировать «миллионы» раз после публичного заявления об ошибках в коде.

«Важно понимать, что уязвим сам язык PHP, а не какая-то конкретная программа. Поэтому обновление WordPress, Drupal, Joomla или другой CMS проблему не решает — менять нужно именно PHP. Под угрозой даже самый простой код на уязвимой версии», — сказал Лука Сафонов. По его оценке, найденные уязвимости потенциально могут затронуть «десятки, а то и сотни тысяч ресурсов Рунета».

Поскольку PHP обеспечивает работу миллионов серверов по всему миру, выявленные уязвимости могут оказаться одними из самых серьезных в 2026 году, считает руководитель глобального центра исследований и анализа угроз «Лаборатории Касперского» (Kaspersky GReAT) в регионах META и APAC Сергей Ложкин. Он отметил, что до установки патча любой сервер, подключенный к интернету и работающий на уязвимой версии PHP, может стать целью атак хакеров без аутентификации. Кроме оперативного обновления, эксперт порекомендовал владельцам сайтов сделать резервные копии и перенести важную информацию в другое место.

Власти стран, международные организации и специалисты по кибербезопасности призвали владельцев сайтов на PHP обновить пакет до исправленной версии, а при невозможности сделать это быстро — временно отключить сайты. С такой рекомендацией, в частности, выступило Агентство национальной безопасности США. На проблему лично обратила внимание премьер-министр Японии Санаэ Такаити. Свои правительственные веб-сервисы временно закрыли власти Финляндии и Чехии, аналогично поступили МИД Бельгии и министерство финансов Японии.

В качестве превентивной меры временно отключили свои сайты префектуры Франции, порт Роттердама, Королевская футбольная ассоциация Нидерландов (KNVB), пять крупнейших политических партий и некоторые больницы Нидерландов. Ряд систем на время устранения уязвимостей также закрыла организация Wikimedia, управляющая онлайн-энциклопедией Wikipedia, передает Reuters.

Опрошенные РБК эксперты отметили, что устранить уязвимости PHP могут только владельцы сайтов и хостинг-провайдеры. «Опасность для посетителя состоит в том, что через найденные уязвимости можно взломать инфраструктуру, на которой расположен сайт, и раскрыть данные пользователей или показать подмененные (фишинговые) страницы», — рассказал руководитель отдела информационной безопасности ИРТЕЯ Дмитрий Кленин.

Эксперт порекомендовал пользователям обновить браузер и операционную систему штатными средствами, включить двухфакторную защиту и использовать разные пароли для разных сервисов, а также не устанавливать программы из всплывающих окон с предложением «срочно устранить уязвимость» и не игнорировать предупреждения браузера. «Даже привычный адрес и HTTPS не гарантируют, что сайт не взломан», — подчеркнул Кленин.

Если сервис сообщил об утечке, следует проверить сообщение через его официальный канал и следовать инструкциям по защите учетной записи. «При утечке пароля смените его, в том числе на других сайтах, где использовали такой же. Эти меры ограничивают возможный ущерб, но не заменяют устранение уязвимости на сервере», — добавил Кленин.

Эксперт по технологиям Николай Турубар считает, что смена пароля и включение двухфакторной аутентификации не помогут пользователям, если уязвимость не исправят на стороне сайта. «Пока владелец сайта не установил патч, любые меры пользователя — это защита от последствий, а не от самой атаки», — отметил он. Турубар посоветовал отдавать предпочтение сайтам, которые оперативно реагируют на выявленные уязвимости. Если сервис не сообщил об обновлении или временном отключении, это является тревожным признаком зрелости его процессов в сфере информационной безопасности, отметил собеседник РБК.

Ведущий аналитик Mobile Research Эльдар Муртазин также полагает, что обычный пользователь сам по себе бессилен против новых уязвимостей в коде PHP. По его мнению, число подобных угроз с каждым днем будет расти, а при грамотной организации атаки даже на качественный ресурс злоумышленники могут похитить данные, в том числе криптовалюту, и жертвы об этом не узнают. «Мы переходим к новой стадии угроз, когда ценную информацию хранить нужно будет на устройствах, которые де-факто не подключены к сети», — допустил он.