21 октября 2026 года Агентство национальной безопасности США (NSA) предупредило о серьёзной угрозе для интернет-инфраструктуры: в языке программирования PHP обнаружены две критические уязвимости. PHP Foundation уже выпустил исправляющие патчи. Уязвимости скрывались во всех версиях языка со времён PHP 5, выпущенного в 2004 году, — то есть более двадцати лет никто их не замечал. Самое примечательное, что нашли их не люди, а системы искусственного интеллекта.
NSA: если не можете пропатчить — временно отключите сайт
NSA оценило уязвимости настолько серьёзно, что порекомендовало веб-сайтам, которые не могут немедленно применить патч, временно отключиться от интернета до появления такой возможности. Такая жёсткая рекомендация на уровне государственного ведомства — редкость, и это показывает, насколько серьёзны уязвимости.
Эти дыры позволяют злоумышленникам получить доступ к файловой системе сервера или к базе данных, которую использует веб-приложение. На практике это означает полный захват сайта: файлы могут быть изменены, данные украдены, а сам сервер может стать плацдармом для дальнейших атак. PHP обслуживает примерно 70% интернет-сайтов — это более 33 миллионов сайтов; популярные системы управления контентом вроде WordPress также построены на PHP. Древние дефекты в столь распространённом языке одновременно делают уязвимыми миллионы сайтов.
PHP 8.1 и более старые версии больше не поддерживаются, поэтому сайты на таких версиях остаются без защиты, если не обновятся. Текущая актуальная версия — PHP 8.5.12. Команда, поддерживающая PHP, попросила веб-разработчиков подготовиться к двум экстренным патчам безопасности.
Кто и как нашёл уязвимости
Одна из уязвимостей была найдена в рамках инициативы OpenAI «Patch the Planet»: фирма по тестированию безопасности Calif обнаружила её с помощью модели GPT-5.6 Sol, а OpenAI сообщила об этой работе в своём блоге. Цель инициативы — находить уязвимости в экосистеме открытого ПО с помощью ИИ и ответственно их раскрывать.
Компания Wiz независимо нашла в PHP несколько уязвимостей с помощью своего безопасного ИИ-агента Wiz Atlas и моделей Gemini 4 Argon и GPT-5.6 Sol. Обе команды следовали практике ответственного исследования: до публичного раскрытия уязвимостей они вместе с командой PHP работали над патчами, а затем совместно проверили находки. Это важная деталь — исследователи не раскрыли уязвимости напрямую, а дождались готовности патчей.
Среди компаний, которым Wiz выразил благодарность, — Automattic, Akamai, AWS, Cloudflare, Fastly, Imperva, Microsoft и Vercel: эти компании были уведомлены до распространения патча и подготовили свою инфраструктуру. WordPress в своём заявлении отметил, что уязвимость не специфична для WordPress, однако сайтам на его CMS следует обновить серверы и обеспечить защиту совместно с хостинг-провайдерами.
«With AI this is no longer a barrier. LLMs can help adapt an exploit to different PHP versions, configurations and memory layouts» (Wiz, блог об уязвимостях).
Почему именно сейчас и почему риск высок
По словам OpenAI, уязвимости были найдены исследователями раньше хакеров — поэтому пока не зафиксировано случаев их применения в реальных атаках. До появления ИИ эксплуатировать эти уязвимости хакерам было очень сложно: найти сложные дефекты в двадцатилетней кодовой базе вручную почти невозможно.
Но Wiz предупреждает, что ИИ делает эти уязвимости ещё опаснее: большие языковые модели могут адаптировать код атаки к разным версиям PHP, конфигурациям и структурам памяти. Раньше злоумышленнику приходилось писать отдельный эксплойт для каждой версии — теперь этого барьера нет. Иными словами, эта проблема была найдена и предотвращена благодаря ИИ — но она же создаёт высокий риск именно из-за ИИ.
После публичного раскрытия проблемы хакеры тоже о ней узнали. Теперь началась гонка: сообщество безопасности рекомендует обновить сайты до того, как непатченные сайты станут мишенями атак. История показывает, что при столь широко распространённых уязвимостях попытки эксплуатации начинаются в течение нескольких дней после выхода патча.
Патчи вышли — следующий шаг
PHP Foundation выпустил исправляющие патчи, а команда поддержки PHP попросила разработчиков подготовиться к двум экстренным патчам. Рекомендация ясна: обновить веб-сервер до текущей версии PHP (8.5.12). PHP 8.1 и старше больше не поддерживаются — сайты на таких версиях без обновления не имеют защиты. Самая жёсткая рекомендация NSA — для тех, кто откладывает патчинг: временно отключить сайт, пока не появится возможность его исправить. Подробный технический анализ — в материалах TechCrunch и Ars Technica.
