Передовые ИИ-модели помогли вскрыть уязвимости «PHP2Shell» в ядре PHP; OpenAI предлагает пятиэтапный план раскрытия

21 октября 2026 года проект PHP выпустил исправленные версии, закрывающие ошибки безопасности памяти в ядре языка, а Wiz Research публично раскрыла их под названием PHP2Shell.

Уязвимости

• Проблемы объединены в две CVE с оценкой до CVSS 9.2. По данным Wiz, они позволяют удалённо выполнять код без аутентификации и читать память сервера, где могут быть пароли, токены и API-ключи.
• По словам Wiz, все версии PHP начиная с 5.4 подвержены хотя бы одной из уязвимостей. Wiz продемонстрировала рабочие атаки на WordPress, Drupal и Joomla, но подчёркивает: ошибки находятся в самом PHP, а не в этих приложениях. По оценке Wiz, на PHP работает около 70% сайтов.
• Полное решение — только обновление PHP. Облачные и CDN-провайдеры подготовили временные меры защиты для тех, кто не может обновиться сразу.

Роль ИИ

Wiz сообщает, что использовала собственный инструмент Wiz Atlas, а также Gemini 4 Argon и GPT-5.6 Sol, и что модели позволили за часы связать ошибки в рабочие эксплойты — работа, по словам компании, находившаяся «на пределе того, что исследователи-люди могли практически сделать». Независимо от этого исследователь компании Calif нашёл одну из ошибок с помощью GPT-5.6 Sol в рамках программы OpenAI Patch the Planet по безопасности открытого ПО.

План OpenAI

OpenAI на этом примере предложила пятиэтапный процесс для найденных ИИ уязвимостей, затрагивающих сразу много продуктов: подтвердить и исправить (в том числе натравив передовые модели на патч в поисках обходов), дать дистрибутивам и хостингам фору, подключить государственные службы реагирования, расширить круг, затем опубликовать рекомендации. По данным Help Net Security, в случае PHP были задействованы Офис национального директора по кибербезопасности США и CISA. OpenAI ожидает, что подобных находок «резко станет больше в ближайшие месяцы», и просит отзывов у сообщества безопасности.