Исследователи с помощью AI-инструментов выявили две критические уязвимости в PHP, способные привести к удалённому выполнению кода. История показывает не только силу автоматического поиска ошибок, но и опасность разрыва между публикацией патча и появлением эксплойта.
Что произошло
Уязвимости затрагивали широко используемые ветки PHP и были раскрыты после координации с сопровождающими проекта. В поиске и проверке сценариев участвовали AI-системы, а отдельные исследовательские команды пришли к близким выводам независимо друг от друга.
Проблема получила широкий резонанс из-за масштаба экосистемы: PHP лежит в основе большого числа сайтов, CMS и внутренних веб-приложений. После публикации исправлений специалисты по безопасности начали отдельно отслеживать попытки использовать разницу между старым и исправленным кодом.
Почему это важно
AI здесь выступил не как автономный злоумышленник, а как ускоритель исследовательской работы. Модель помогла просматривать большой объём кода, формулировать гипотезы и проверять их, сокращая срок от поиска подозрительного места до воспроизводимого сценария.
Та же скорость работает и на стороне атакующих. Поэтому для владельцев WordPress, Drupal и собственных PHP-сервисов обновление нельзя откладывать до удобного окна: нужно проверить версии PHP, установить доступные исправления и убедиться, что внешние панели и старые плагины не возвращают уязвимый компонент.
Вывод
Главный урок — безопасность программного стека становится гонкой автоматизации. Защитникам нужны такие же инструменты анализа, но финальное решение по исправлению, тестированию и выпуску всё ещё должно проходить через инженеров.