AI-агенты нашли дыру, которую люди игнорировали
19 октября 2026 года AI-система OpenAI GPT 5.6-Sol обнаружила критическую уязвимость в PHP, на которой работает около 70% веб-сайтов в интернете. Проблема заключается в механизме обработки ошибок: при нехватке памяти PHP использует функцию C longjmp() для аварийного завершения. Если этот скачок происходит во время построения структуры данных, в памяти остаются «обломки», которые движок PHP интерпретирует как валидные данные. Это позволяет атакующему выполнить произвольный код (RCE) с правами процесса PHP.
Постмортем от PHP Foundation раскрыл шокирующий факт: команда мейнтейнеров знала об этой архитектурной проблеме два года. Однако из-за малого состава (1 штатный сотрудник и 14 контрактников) и страха сломать совместимость с расширениями, исправление откладывалось. Теперь, когда AI-агенты ускоряют сканирование уязвимостей, стандартное окно в 90 дней стало бессмысленным.
Масштаб катастрофы: старые версии и технический долг
Ситуация усугубляется колоссальным техническим долгом экосистемы. Несмотря на то, что актуальные ветки — 8.1–8.5, подавляющее большинство серверов застряло в прошлом. Это создает идеальную среду для атак, так как эксплойт требует знания точной версии PHP.
| Версия PHP | Статус поддержки | Доля установок | Риск |
|---|---|---|---|
| PHP 7.x (включая 7.4) | End-of-Life (EOL) | ~73% | Критический. Нет официальных патчей от Foundation. |
| PHP 5.x | EOL (выпущена в 2005) | ~8% | Критический. Уязвимы встроенные системы, NAS, роутеры. |
| PHP 8.1+ | Актуальные | ~19% | Низкий (при условии установки последних патчей). |
PHP2Shell в действии: от веб-сервера до ядра
Эксплойт PHP2Shell уже активно используется хакерами. Наиболее опасный сценарий — цепочка атак. Например, зафиксирована кампания, где уязвимость PHP была скомбинирована с эксплойтом ядра Fragnesia (Dirty Frag). Это позволило злоумышленникам получить доступ к уровню ядра (kernel-level access) на 25 серверах, связанных с правительством США.
По данным BitSight, к 29 октября зафиксировано множество попыток вторжения с разных IP-адресов. Хотя единого «эксплойта в один клик» пока нет, угроза создания универсального инструмента растет. Censys оценивает общее число уязвимых установок в 45,7 млн из 119 млн всего PHP-инстансов.
Что делать: от WAF до платных подписок
Полное решение — обновление до PHP 8.1+. Однако для legacy-систем это сложно. В качестве временной меры рекомендуются:
- WAF и CDN: Cloudflare и Fastly уже добавили правила обнаружения PHP2Shell. Immunify360 блокирует вредоносные запросы на уровне веб-приложения.
- Антивирусы: CrowdStrike и аналоги могут детектировать аномальное поведение бинарного файла PHP.
- Платные репозитории: Ubuntu Pro, Zend и разработчик Ondřej Surý выпустили бэкпортированные патчи для версий вплоть до PHP 5.5. Это критически важно для корпоративного сектора, где обновление кода сайта невозможно в краткие сроки.
Системные администраторы уже начали скрывать номера версий PHP в заголовках ответов, чтобы усложнить жизнь атакующим, но это лишь временная мера. Экосистема PHP демонстрирует, как недофинансирование open-source проектов в эпоху AI-угроз может привести к глобальным инцидентам.
Источник: Tom's Hardware ↗