PHP2Shell: ИИ ускоряет борьбу за безопасность сайтов

Разработчики PHP 21 октября выпустили обновления, закрывающие уязвимости CVE-2026-109618 и CVE-2026-109619, получившие название PHP2Shell. PHP — программная основа множества сайтов, которая обрабатывает запросы посетителей и взаимодействует с базами данных. На нём работают, в частности, системы управления сайтами WordPress, Drupal и Joomla. Поэтому ошибка в самом PHP может затронуть разные интернет-проекты, даже если их собственный программный код написан правильно.

Проблема связана с обработкой памяти и аварийных ситуаций внутри программы. При специально подобранных запросах PHP способен неправильно обращаться с внутренними данными, что при определённых условиях открывает возможность выполнения постороннего кода. Для некоторых подтверждённых способов атаки злоумышленнику не требуется входить в учётную запись. Однако наличие неисправленной версии ещё не доказывает взлом: результат зависит от конфигурации сервера и конкретного способа использования ошибки.

Британский Национальный центр кибербезопасности призвал организации срочно найти системы, использующие PHP, и установить исправления. Особое внимание рекомендовано уделить серверам, доступным из интернета, а также продуктам, в которые PHP встроен как компонент. Если обновление или временная защита невозможны, ведомство предлагает рассмотреть отключение системы до устранения риска. Это рекомендация по снижению угрозы, а не подтверждение того, что все такие серверы уже атакованы.

Попытки атак начались раньше обновлений

Amazon сообщила, что обнаружила попытку эксплуатации PHP2Shell, датированную 17 октября, в своей системе MadPot. Она использует специальные серверы-ловушки, позволяющие наблюдать за действиями предполагаемых атакующих. По сообщению компании, новые попытки последовали утром 21 октября, ещё до согласованного раскрытия информации. При этом Amazon отдельно оговорила: неизвестно, сработали бы эти попытки против реальных рабочих систем.

Публикация исправлений первоначально планировалась на 22 октября, но разработчики перенесли её на день раньше после распространения сведений об уязвимостях. PHP Foundation также сообщила об ошибочно опубликованном видео с демонстрацией возможности взлома. Такое раскрытие осложняет защиту: потенциальные атакующие получают дополнительную информацию, пока владельцы серверов ещё готовят обновления. Однако события 20 октября сами по себе не объясняют, откуда появились знания у участника, чью попытку Amazon зафиксировала тремя днями ранее.

Где действительно участвовал ИИ

Связь этой истории с искусственным интеллектом подтверждается исследователями Wiz, участвовавшими в поиске уязвимостей. Компания сообщает, что использовала ИИ при анализе ошибок, разработке демонстрационных способов их использования и проверке исправления. По её оценке, модели заметно сократили объём сложной ручной работы, включая адаптацию демонстраций к разным приложениям. Это заявление участников исследования, а не независимое измерение того, насколько быстрее теперь действует каждый злоумышленник.

Практическое значение ИИ заключается в ускорении отдельных этапов работы: чтения программного кода, поиска подозрительных мест и анализа результатов испытаний. Те же возможности могут помогать как разработчику исправления, так и человеку, который ищет способ проникновения. При этом успешная демонстрация в исследовательской среде не означает способности автоматически взломать любой сайт. Опубликованные сведения также не устанавливают, что участники наблюдавшихся Amazon атак применяли ИИ.

Американское Агентство по кибербезопасности и защите инфраструктуры CISA предупреждает, что ИИ позволяет автоматизировать и расширять вредоносную активность. Одновременно ведомство подчёркивает значение давно известных проблем: несвоевременных обновлений, устаревших систем и ошибок обработки входящих данных. Новые инструменты увеличивают скорость противостояния, но не отменяют эти причины проникновений. Для защиты важны и поиск новых дефектов, и устранение уже известных слабых мест.

Чем рискует посетитель сайта

При успешном захвате сервера возможны кража данных, изменение страниц, установка вредоносных программ и нарушение работы сервиса. Для посетителя это может обернуться утечкой личной информации или появлением мошеннических материалов на прежде знакомом сайте. Конкретные последствия зависят от прав, полученных атакующим, устройства системы и хранящихся в ней сведений. Само сообщение об уязвимости не позволяет утверждать, что данные клиентов определённого магазина или учреждения уже похищены.

Пользователь не может обновить PHP на чужом сервере: это обязанность владельца сервиса и обслуживающих его специалистов. Но он способен ограничить последствия возможной утечки, используя разные пароли для разных сайтов и включая двухфакторную аутентификацию. После уведомления о компрометации следует выполнять рекомендации сервиса, проверяя их через официальный сайт. Эти меры защищают учётные записи, хотя и не устраняют программную ошибку на сервере.

Что нужно сделать владельцам сайтов

Разработчики выпустили исправленные версии PHP 8.5.12, 8.4.27, 8.3.36 и 8.2.35. Владельцу небольшого сайта следует запросить у хостинг-провайдера подтверждение, что исправление установлено именно на обслуживающем его сервере. При использовании пакетов операционной системы номер может отличаться, поскольку поставщики иногда переносят исправления в прежние версии. Поэтому ориентироваться нужно также на официальное уведомление поставщика, а не только на цифры в панели управления.

После обновления необходимо проверить систему на признаки предшествующего проникновения: исправление закрывает уязвимость, но само по себе не удаляет уже установленную вредоносную программу. Обновление WordPress или его расширений тоже не заменяет исправления PHP, если ошибка находится в программной основе сервера. История PHP2Shell показывает, что обнаружение серьёзного дефекта должно быстро переходить в проверку инфраструктуры и установку защиты. ИИ способен ускорить поиск ошибок с обеих сторон, но безопасность по-прежнему зависит от того, насколько организованно люди на них реагируют.