Агентство национальной безопасности США предупредило о двух критических уязвимостях в PHP — языке программирования, который используется примерно на 70% сайтов в интернете. Исправления уже выпустил фонд PHP, однако специалисты рекомендуют владельцам ресурсов установить обновления как можно скорее. Об этом сообщил сайт TechCrunch.
Уязвимости присутствуют во всех версиях PHP начиная с версии 5, вышедшей в 2004 году. Через них злоумышленники могут получить доступ к файловой системе сервера или базе данных, которую использует веб-приложение. АНБ советует временно отключить сайт, если обновить его сразу невозможно.
Для устранения проблемы сервер необходимо перевести на актуальную версию PHP — 8.5.12. Версии PHP 8.1 и более ранние уже не поддерживаются, поэтому их владельцам потребуется дополнительная работа по обновлению. PHP применяется не только в отдельных веб-приложениях, но и в популярных системах управления сайтами, включая WordPress.
Обнаружить уязвимости помогли инструменты искусственного интеллекта. Компания Calif участвовала в инициативе OpenAI «Patch the Planet» по поиску ошибок в программном обеспечении с открытым исходным кодом и с помощью GPT‑5.6 Sol выявила одну из проблем. Параллельно специалисты Wiz использовали агента Wiz Atlas, а также модели Gemini 4 Argon и GPT-5.6 Sol, чтобы найти несколько уязвимостей в PHP.
OpenAI и Wiz сначала передали сведения разработчикам PHP и вместе подготовили исправления, а затем проверили их при участии других компаний. Wiz поблагодарила Automattic, Akamai, AWS, Cloudflare, Fastly, Imperva, Microsoft и Vercel. WordPress отдельно подчеркнула, что проблема не относится непосредственно к её системе управления сайтами: владельцам ресурсов на WordPress нужно обновить серверы и связаться с хостинг-провайдерами.
Исследователи обнаружили уязвимости раньше хакеров, поэтому сообщений об атаках с их использованием не поступало. Однако после публичного раскрытия информации злоумышленники получили возможность изучить проблему. «С ИИ это больше не является препятствием. Большие языковые модели могут помочь адаптировать эксплойт под разные версии PHP, конфигурации и схемы размещения в памяти», — предупредила Wiz. Теперь владельцам десятков миллионов сайтов предстоит установить обновления до того, как уязвимые ресурсы начнут атаковать.