ШІ виявив критичну вразливість, яка загрожує 70% сайтів у світі

Критичну вразливість PHP, технології, на якій працює до 70% вебсайтів у світі, виявили за допомогою штучного інтелекту. Помилка дає змогу зловмисникам запускати власний код на вразливих серверах, викрадати дані та атакувати відвідувачів сайтів.

Як повідомляє The Wall Street Journal, розробники випустили термінове оновлення безпеки, а адміністратори сайтів почали встановлювати виправлення, побоюючись, що хакери використають ШІ для швидкого створення інструментів атаки. Деякі державні та комерційні ресурси тимчасово вимкнули превентивно. В середу, 21 жовтня, вже з’явилися повідомлення про спроби кібератак.

Чому PHP2Shell становить серйозну загрозу

Вразливість отримала назву PHP2Shell і пов’язана з тим, як PHP керує пам’яттю комп’ютера. Якщо сервер не має встановленого виправлення, зловмисник може скористатися помилкою, щоб запустити на ньому несанкціоноване програмне забезпечення, причому в деяких випадках для цього достатньо кількох секунд.

Фолькер Даш, інженер з безпеки некомерційного фонду, який керує проєктом PHP, назвав її найсерйознішою вразливістю цієї технології за понад десять років. За масштабом він порівняв її з Heartbleed — помилкою, через яку понад десять років тому довелося терміново захищати сотні тисяч серверів.

«Якийсь хлопець у Twitter може взяти патчі, пропустити їх через ШІ й опублікувати експлойт. Почнеться справжнє пекло», — заявив керівник компанії Calif, що займається безпекою і першою виявила цю проблему, Тай Дуонг.

Раян Остін, дослідник Calif, знайшов проблему в серпні під час аудиту вихідного коду PHP за допомогою моделі GPT-5.6 Sol від OpenAI. Компанія OpenAI профінансувала цей та інші аудити в межах ініціативи, покликаної допомогти проєктам із відкритим кодом виправляти вразливості, які виявляє штучний інтелект.

Подібна проблема роками залишалася в коді PHP. За словами Дуонга, ще близько десяти років тому дослідник безпеки звертав увагу на відповідну ділянку коду, але тоді вважали, що скористатися вразливістю надто складно, і згодом про неї здебільшого забули.

Остін за допомогою ШІ знайшов спосіб використати цю помилку, зробивши кілька десятків запитів до сервера з PHP. У невеликих системах злам може тривати лише кілька секунд, тоді як у складніших — потребувати годин.

Як дослідники готували виправлення

11 серпня Дуонг повідомив Дашу про «виявлення серйозної проблеми». Даш згодом згадав свою першу реакцію: «О Боже, що ж нам тепер робити? Як про це повідомити?»

«Але потім заспокоюєшся, даєш адреналіну відступити — і берешся до виправлення», — додав Даш. 

Невдовзі дослідники безпеки та розробники програмного забезпечення сформували неформальну робочу групу, щоб усунути вразливість і не допустити її використання хакерами. До роботи долучилися дистриб’ютори програмного забезпечення та компанії з кібербезпеки. 

Дослідники Wiz, яка співпрацює з Google, незалежно від Calif знайшли додаткові способи експлуатації помилки. Дослідницька група OpenAI також представила власні результати.

За словами Амі Луттвака, співзасновника Wiz, PHP2Shell є «найсерйознішою вразливістю, пов’язаною зі штучним інтелектом, яку коли-небудь виявляли». Він припустив, що без допомоги ШІ дослідники могли б не знайти помилку, оскільки вона була надто складною.

Робота над виправленням охопила майже 200 файлів, а розробники написали понад 10 тисяч рядків коду. Команда намагалася зберегти інформацію про вразливість у таємниці, побоюючись, що зловмисники зможуть знайти спосіб її використати раніше, ніж вийде оновлення.

Чому ШІ ускладнює захист серверів

Випуск патчів запускає перегони між фахівцями, які захищають системи, та хакерами. Перші мають перевірити й встановити оновлення, тоді як другі можуть аналізувати зміни у вихідному коді, щоб знайти вразливі місця та створити інструменти для атак. 

Сучасні системи штучного інтелекту здатні значно прискорити цей процес. За таких умов зловмисники можуть почати використовувати вразливість ще до того, як адміністратори встигнуть оновити свої сервери.

За словами дослідників, ШІ вже допомагає фахівцям знаходити тисячі програмних помилок, через що проєкти з відкритим кодом отримують дедалі більше проблем, які потребують виправлення. PHP2Shell стала пріоритетною загрозою через поєднання потенційного масштабу ураження та можливості швидко розробити інструменти для атаки.

Спочатку виправлення планували опублікувати 22 жовтня, однак у вівторок, менш ніж за два дні до релізу, інформація про нього з’явилася на сайті Hacker News. Після витоку команда Дуонга вирішила прискорити випуск і попередила спільноту, що критичне оновлення безпеки стане доступним у середу, 21 жовтня. За словами Дуонга, такий графік мав забезпечити «оптимальний баланс»: дати захисникам час підготуватися, але не залишити зловмисникам надто багато часу для створення експлойтів.

Залучення ШІ для виправлення коду відбувається на тлі тривоги щодо його використання як хакерської зброї, здатної автоматизувати масштабні атаки. Показово, що сама OpenAI раніше визнала низку інцидентів із власною технологією, зокрема під час тестування її агенти обійшли безпекові бар'єри платформи Hugging Face, несанкціоновано збирали системні дані та виходили за межі ізольованого середовища.