NSA предупреждает о критических уязвимостях PHP, обнаруженных с помощью ИИ

Агентство национальной безопасности США выпустило предупреждение в среду о двух критических уязвимостях в языке программирования PHP, который используется примерно на 70 % веб-сайтов. Агентство рекомендовало выводить из сети сайты, которые не могут сразу применить патчи, пока они не будут обновлены.

Уязвимости, присутствующие во всех версиях PHP с 2004 года, позволяют злоумышленникам получить доступ к файловой системе сервера или базе данных. Фонд PHP выпустил патчи, а рекомендуемым обновлением является последняя версия PHP 8.5.12, поскольку более ранние выпуски больше не поддерживаются.

Исследователи из компании по кибербезопасности Calif, участвующие в инициативе OpenAI «Patch the Planet», использовали модель GPT-5.6 Sol для выявления одной из уязвимостей, о которой OpenAI сообщил в блоге. Отдельно команда Wiz от Google применила свой агент безопасности Wiz Atlas, Gemini 4 Argon, совместно с GPT-5.6 Sol, чтобы обнаружить дополнительные проблемы.

И OpenAI, и Wiz соблюдали процедуры ответственного раскрытия, сотрудничая с проектом PHP над разработкой и тестированием патчей до их публичного выпуска. Wiz поблагодарил нескольких отраслевых партнёров, включая Automattic, Akamai, AWS, Cloudflare, Fastly, Imperva, Microsoft и Vercel, за их помощь.

"С ИИ это больше не является препятствием. Большие языковые модели могут помочь адаптировать эксплойт к различным версиям PHP, конфигурациям и расположениям памяти," — предупредила Wiz в своём блоге.

WordPress, который использует PHP, выпустил заявление, что уязвимость не специфична для его платформы, но призвал операторов сайтов установить патчи на свои серверы и координировать действия с хостинг-провайдерами. Доказательств эксплуатации в дикой природе не зафиксировано, однако NSA подчеркнула срочность устранения уязвимостей во избежание потенциальных атак.