ИИ против двухлетней загадки PHP
21 октября OpenAI объявила о прорыве в кибербезопасности в рамках программы "Patch the Planet". Исследователи из компании Calif и OpenAI использовали модель GPT-5.6 Sol для аудита исходного кода PHP. Результат превзошел ожидания: ИИ-ассистенты помогли найти рабочие эксплойты для двух критических уязвимостей, которые существовали в ядре языка два года, оставаясь неизвестными для человеческих разработчиков.
Проблема заключалась в том, что PHP Foundation знала о фундаментальных дефектах с 2024 года, но не могла определить метод эксплуатации или способ исправления. Исследователь Ryan A. из Calif совместно с ИИ-инструментами OpenAI идентифицировал уязвимость 11 августа 2026 года, а команда Wiz позже нашла вторую независимую брешь.
Технические детали: CVE-2026-109618 и CVE-2026-109619
Обе уязвимости получили наивысший балл опасности — 9.2 из 10. Они затрагивают базовый движок PHP, что означает риск для сайтов даже при отсутствии ошибок в прикладном коде. Атаки возможны удаленно, без необходимости входа в систему.
| Параметр | Уязвимость CVE-2026-109618 | Уязвимость CVE-2026-109619 |
|---|---|---|
| Суть проблемы | Нехватка выделенной памяти при обработке запроса | Fatal-ошибка оставляет указатель на освобожденную память |
| Механизм атаки | Движок ошибочно принимает завершенные данные за валидные | Следующие запросы получают доступ к поврежденным данным |
| Последствия | Удаленное выполнение кода (RCE) | Удаленное выполнение кода (RCE) |
| Риск утечки | Пароли, токены аутентификации, API-ключи из памяти сервера | |
Реакция сообщества и новые версии PHP
Из-за преждевременного раскрытия информации 20 октября, релиз патчей был перенесен на день раньше. PHP Foundation выпустила исправленные версии:
- PHP 8.2.35
- PHP 8.3.36
- PHP 8.4.27
- PHP 8.5.12
Версии PHP 8.1 и более старые не получат официальных исправлений. OpenAI подчеркивает, что каждый сайт, использующий PHP, должен обновиться немедленно.
Концепция "Defender's Window"
OpenAI использует этот инцидент как пример концепции "Defender's Window" (Окно защитника). Суть идеи: существует узкое временное окно, в котором организации могут использовать передовые ИИ-модели для поиска и устранения уязвимостей, прежде чем эти же возможности станут доступны злоумышленникам. ИИ не только создал угрозу, но и стал главным инструментом защиты, сократив время на поиск эксплойтов с двух лет до двух недель.
Источник: Tom's Hardware ↗