После публикации сведений о двух уязвимостях PHP злоумышленники за несколько часов предприняли миллионы попыток их эксплуатации. Такой вывод сделали специалисты Cloudflare, наблюдавшие активность в сети. Быстро переходить от обнаружения ошибки к атаке преступникам помогают доступные инструменты искусственного интеллекта.
Уязвимости получили общее название PHP2Shell и позволяют выполнять код удалённо без предварительной авторизации. При этом массового захвата серверов пока не произошло: PHP Foundation не зафиксировала успешных атак. Многие образцы эксплойтов (программ для использования уязвимостей), распространявшиеся в открытом доступе, также оказались неработоспособными.
Главная особенность этой истории связана с тем, что искусственный интеллект помог исследователям превратить давно известную проблему в практически применимую угрозу. Отдельные составляющие уязвимостей обнаружили ещё в 2024 году, однако тогда их сочли слишком сложными для эксплуатации. Теперь развитие ИИ позволило ускорить анализ кода и поиск способов атаки.
Первыми PHP2Shell выявили специалисты компании Calif, создавшие эксплойты в начале августа. Они частично применяли передовые модели ИИ в рамках программы OpenAI Patch the Planet (исправление уязвимостей в открытом программном обеспечении), но опирались и на знания экспертов о языке PHP, его работе и слабых местах. Позднее аналогичные проблемы независимо нашли исследователи OpenAI и принадлежащей Google компании Wiz.
«Уязвимость была известна команде PHP в течение многих лет, но поскольку злоумышленник — по крайней мере человек — не мог использовать её, на неё не обратили внимания», — заявил исследователь безопасности Wiz Саги Цадик. По его словам, именно новые возможности ИИ изменили практическую оценку старой проблемы.
Расширение возможностей таких моделей ускоряет как поиск ошибок, так и подготовку потенциальных атак, увеличивая нагрузку на разработчиков и администраторов, которым приходится оперативно устанавливать исправления. В октябре Microsoft выпустила обновления для рекордных 1453 уязвимостей, а Bank of America нанял 1000 консультантов для устранения проблем, обнаруженных системой Anthropic Mythos. При этом специалисты по безопасности подчёркивают: ИИ не создаёт принципиально новых методов, а усиливает уже существующие процессы поиска уязвимостей и согласованного раскрытия информации, как сообщает Wired.