ИИ обнаружил критическую уязвимость, которая представляет угрозу для 70 % сайтов в мире

Критическая уязвимость PHP — технологии, на которой работает до 70 % веб-сайтов в мире, — была обнаружена с помощью искусственного интеллекта. Уязвимость позволяет злоумышленникам запускать собственный код на уязвимых серверах, похищать данные и атаковать посетителей сайтов.

Как сообщает The Wall Street Journal, разработчики выпустили срочное обновление безопасности, а администраторы сайтов начали устанавливать исправления, опасаясь, что хакеры используют ИИ для быстрого создания инструментов атаки. Некоторые государственные и коммерческие ресурсы временно отключили в профилактических целях. В среду, 21 октября, уже появились сообщения о попытках кибератак.

Почему PHP2Shell представляет серьезную угрозу

Уязвимость получила название PHP2Shell и связана с тем, как PHP управляет памятью компьютера. Если на сервере не установлено исправление, злоумышленник может воспользоваться ошибкой, чтобы запустить на нём несанкционированное программное обеспечение, причём в некоторых случаях для этого достаточно нескольких секунд.

Фолькер Даш, инженер по безопасности некоммерческого фонда, курирующего проект PHP, назвал эту уязвимость самой серьезной в этой технологии за более чем десять лет. По масштабу он сравнил её с Heartbleed — ошибкой, из-за которой более десяти лет назад пришлось срочно защищать сотни тысяч серверов.

«Какой-нибудь парень в Twitter может взять патчи, пропустить их через ИИ и опубликовать эксплойт. Начнется настоящий ад», — заявил руководитель компании Calif, занимающейся безопасностью и первой обнаружившей эту проблему, Тай Дуонг.

Райан Остин, исследователь из Calif, обнаружил проблему в августе во время аудита исходного кода PHP с помощью модели GPT-5.6 Sol от OpenAI. Компания OpenAI профинансировала этот и другие аудиты в рамках инициативы, призванной помочь проектам с открытым исходным кодом исправлять уязвимости, обнаруживаемые искусственным интеллектом.

Подобная проблема годами оставалась в коде PHP. По словам Дуонга, ещё около десяти лет назад исследователь безопасности обращал внимание на соответствующий участок кода, но тогда считали, что воспользоваться уязвимостью слишком сложно, и впоследствии о ней в основном забыли.

Остин с помощью ИИ нашел способ использовать эту ошибку, сделав несколько десятков запросов к серверу на PHP. В небольших системах взлом может занять всего несколько секунд, тогда как в более сложных — потребовать нескольких часов.

Как исследователи готовили исправление

11 августа Дуонг сообщил Дашу об «обнаружении серьёзной проблемы». Даш позже вспомнил свою первую реакцию: «О Боже, что же нам теперь делать? Как об этом сообщить?»

«Но потом успокаиваешься, даёшь адреналину улетучиться — и приступаешь к исправлению», — добавил Даш.

Вскоре исследователи в области безопасности и разработчики программного обеспечения сформировали неформальную рабочую группу, чтобы устранить уязвимость и не допустить её использования хакерами. К работе присоединились дистрибьюторы программного обеспечения и компании, занимающиеся кибербезопасностью.

Исследователи из компании Wiz, сотрудничающей с Google, независимо от Калифа нашли дополнительные способы эксплуатации уязвимости. Исследовательская группа OpenAI также представила собственные результаты.

По словам Ами Луттвака, соучредителя Wiz, PHP2Shell является «самой серьёзной уязвимостью, связанной с искусственным интеллектом, которую когда-либо обнаруживали». Он предположил, что без помощи ИИ исследователи могли бы не обнаружить эту уязвимость, поскольку она была слишком сложной.

Работа над исправлением охватила почти 200 файлов, а разработчики написали более 10 тысяч строк кода. Команда пыталась сохранить информацию об уязвимости в тайне, опасаясь, что злоумышленники смогут найти способ её использовать раньше, чем выйдет обновление.

Почему ИИ усложняет защиту серверов

Выпуск патчей запускает гонку между специалистами, защищающими системы, и хакерами. Первые должны проверить и установить обновления, тогда как вторые могут анализировать изменения в исходном коде, чтобы найти уязвимые места и создать инструменты для атак.

Современные системы искусственного интеллекта способны значительно ускорить этот процесс. В таких условиях злоумышленники могут начать использовать уязвимость ещё до того, как администраторы успеют обновить свои серверы.

По словам исследователей, ИИ уже помогает специалистам находить тысячи программных ошибок, из-за чего проекты с открытым исходным кодом сталкиваются со всё большим количеством проблем, требующих исправления. PHP2Shell стала приоритетной угрозой из-за сочетания потенциального масштаба поражения и возможности быстро разработать инструменты для атаки.

Изначально исправление планировалось опубликовать 22 октября, однако во вторник, менее чем за два дня до релиза, информация о нём появилась на сайте Hacker News. После утечки команда Дуонга решила ускорить выпуск и предупредила сообщество, что критическое обновление безопасности станет доступно в среду, 21 октября. По словам Дуонга, такой график должен был обеспечить «оптимальный баланс»: дать защитникам время подготовиться, но не оставить злоумышленникам слишком много времени для создания эксплойтов.

Использование ИИ для исправления кода происходит на фоне опасений относительно его применения в качестве хакерского оружия, способного автоматизировать масштабные атаки. Показательно, что сама OpenAI ранее признала ряд инцидентов с собственной технологией, в частности, во время тестирования её агенты обошли защитные барьеры платформы Hugging Face, несанкционированно собирали системные данные и выходили за пределы изолированной среды.