Управление национальной безопасности США выпустило тревожное предупреждение: в PHP обнаружены две критические дыры, патчи уже выпущены PHP Foundation. По данным источников, уязвимости настолько серьезны, что при невозможности незамедлительного исправления сайта его рекомендуют вытащить из сети до устранения дефектов. Угрозы позволяют злоумышленникам проникать в файловую систему сервера или в базу данных, которой пользуется веб‑приложение.

PHP остаётся одной из самых распространённых серверных языков для веб‑приложений: по оценкам, он обслуживает примерно 70% сайтов в интернете — это более 33 миллионов сайтов. Его используют также популярные системы управления контентом, например WordPress.

Не все версии PHP поддерживаются одинаково: все обнаруженные дыры оказались в разных версиях с момента выпуска PHP 5 в 2004 году, а поддержка у версий 8.1 и старше завершилась. Рекомендован переход на текущую ветку PHP, версию 8.5.12.

Как всплыли эти уязвимости, которые затрагивают настолько широкий круг веб‑ресурсов десятилетиями? Их обнаружили благодаря ИИ, включая проекты OpenAI и Wiz, говорится в публикациях.

Секреты обнаружения уязвимостей подтверждают лица исследовательских проектов: компания Calif, участвовавшая в инициативе OpenAI «Patch the Planet», нашла одну из дыр с помощью GPT‑5.6 Sol и передала результаты в открытый доступ через блог OpenAI; команда Wiz задействовала своих агентов Wiz Atlas security AI, Gemini 4 Argon и GPT‑5.6 Sol для поиска нескольких дефектов в PHP.

Оба участника — OpenAI и Wiz — действовали в рамках ответственной кибербезопасности и сотрудничали с PHP над патчами до публичного раскрытия. Затем они совместно дополнили находки и протестировали патчи, привлекая к работающим проверкам ряд сторонних специалистов.

Wiz поблагодарил партнеров — Automattic, Akamai, AWS, Cloudflare, Fastly, Imperva, Microsoft и Vercel. WordPress отметил, что найденная дыра не специфична для WordPress: сайты на этой CMS должны патчить серверы и работать с хостинг‑компаниями, чтобы обеспечить защиту.

OpenAI подчёркивает: уязвимости были обнаружены до того, как их нашли хакеры, факт exploits в дикой природе не зафиксирован. По мнению Wiz, раньше атакующие не могли эксплуатировать такие уязвимости, но «с ИИ это перестало быть барьером», поскольку большие языковые модели помогают адаптировать эксплойт под различные версии PHP и конфигурации.

Теперь, когда проблема раскрыта, злоумышленники получат полный доступ к информации. Соревнование патчей охватывает десятки миллионов сайтов, и NSA рекомендует вывести сайт в автономный режим, если патчить немедленно невозможно.