Две критические уязвимости в самом ядре PHP — языка, на котором держится около 70% сайтов мира, — нашли не люди, а фронтир-модели OpenAI и Google. 21 октября вышли экстренные патчи, а половина интернета в тот же день ушла в «плановое обслуживание».

Что нашли

Уязвимости назвали PHP2Shell (CVE-2026-109618 и CVE-2026-109619, обе 9.2 по CVSS). Это ошибки памяти в обработке фатальных ошибок: запрос обрывается из-за нехватки памяти, а испорченное состояние подхватывает следующий запрос. Итог — выполнение кода на сервере без авторизации и чтение чужой памяти с паролями, токенами и ключами. Уязвима любая версия начиная с PHP 5.4, а сайту не нужно иметь своих ошибок: Wiz показала взлом свежих WordPress, Drupal и Joomla.

При чём тут ИИ

Слабое место замечали ещё в 2020-м и 2024-м, но доказать, что его можно эксплуатировать, никто не смог. В августе Calif с GPT-5.6 Sol и сама OpenAI независимо собрали цепочку до выполнения кода, а Wiz на связке Gemini 4 Argon и GPT-5.6 Sol нашла ещё несколько векторов. По словам Wiz, один исследователь с ИИ за неделю сделал то, на что у команды мирового уровня ушли бы месяцы.

Есть ли пострадавшие

Подтверждённых успешных взломов на утро 22 октября нет, но попытки атак видят Cloudflare, Patchstack, Hadrian и watchTowr — часть началась ещё до патчей. Детали утекли заранее: номера CVE всплыли в соцсетях, Calif по ошибке выложила видео эксплойта, а Chainguard за шесть часов до релиза опубликовала образы с исправлением. Главный урон пока — превентивные отключения: сайты сняли правительства Нидерландов, Дании, Франции, Финляндии и Канады, Википедия выключила Toolforge и Cloud VPS, лежали 4chan и DeviantArt, а Pokémon Home, Champions и Sleep ушли на экстренное обслуживание.

Было ли такое раньше

Wiz сравнивает PHP2Shell с Heartbleed (2014, OpenSSL) и Log4Shell (2021, Log4j) — но те нашли люди. Находки ИИ до сих пор были скромнее: в 2024-м Google Big Sleep поймал баг в SQLite до релиза, в 2026-м Claude Mythos Preview находил дыры в OpenBSD и крупных ОС. PHP2Shell — первый случай, когда найденный ИИ баг заставил отключаться целые государства.

Почему это важно

Старые дыры раньше спасала сложность эксплойта — ИИ этот барьер снял и для защитников, и для атакующих. С июля в PHP при участии ИИ нашли уже 15 новых CVE, и OpenAI предупреждает, что таких находок станет резко больше. Что делать: обновиться до PHP 8.5.12, 8.4.27, 8.3.36 или 8.2.35; версии 8.1 и старше официальных исправлений не получат.

Источники: Wiz, SecurityWeek, The Register

НЕЙРО-ПУШКА ● Новости и обзоры нейросетей