ОтветыОпубликовано28 источники
PHP2Shell: как ИИ-поиск уязвимостей проверил на прочность систему раскрытия ошибок
PHP2Shell — две критические уязвимости в PHP с оценкой CVSS 9,2 каждая; исправления выпустили 21 октября 2026 года. По словам OpenAI, Calif обнаружила одну из уязвимостей с помощью GPT 5.6 Sol, а Wiz независимо нашла и сообщила об обеих.
ОпубликовалОтредактировано с помощью GPT-6 LunaИзображения созданы с помощью GPT Image 2
Ответ на исследование
Ключевые выводы
- PHP2Shell — две критические уязвимости в PHP с оценкой CVSS 9,2 каждая; исправления выпустили 21 октября 2026 года.
- По словам OpenAI, Calif обнаружила одну из уязвимостей с помощью GPT 5.6 Sol, а Wiz независимо нашла и сообщила об обеих.
- Amazon сообщила о попытке эксплуатации 17 октября — за четыре дня до публичного раскрытия.
Промпт ИИ
openai.comCreate a landscape editorial hero image for this Studio Global article: What does the PHP2Shell case reveal about AI-assisted vulnerability discovery and coordinated disclosure, including OpenAI’s October 21 anno. Article summary: PHP2Shell illustrates that AI-assisted research can uncover serious flaws in widely deployed software, while protecting users still depends on human validation, coordinated fixes, and rapid deployment. OpenAI’s October 2. Topic tags: general, general web, user generated, education. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, cha
PHP2Shell — это две критические уязвимости в ядре PHP, для которых экстренные исправления выпустили 21 октября 2026 года. В опубликованном OpenAI рассказе этот случай представлен не просто как история об ИИ, нашедшем ошибку: подготовка патчей и защитных мер потребовала двух месяцев координации между разработчиками PHP, исследователями и специалистами по безопасности.18
В этом и состоит главный урок PHP2Shell: обнаружить проблему — лишь начало. Нужно ещё подготовить надёжное исправление и дать организациям, использующим затронутое ПО, возможность установить его до того, как сведения об уязвимости станут общедоступными.
Что нашли исследователи и при чём здесь ИИ
Уязвимости CVE-2026-109618 и CVE-2026-109619 получили оценку CVSS 9,2 каждая. Исследователи продемонстрировали, что ошибки могут позволить удалённо выполнить код без авторизации на установках WordPress, Drupal и Joomla, а также раскрыть данные из памяти.3
4 По опубликованным сведениям, уязвимыми могли быть версии PHP от 5.4 до 8.5.
1
Обе ошибки связаны с управлением памятью в PHP. Одна касается обработки нехватки памяти, другая — устаревшего состояния между запросами и использованием уже освобождённой памяти.3
9 Иными словами, проблема находилась не только в конкретном сайте или его приложении, а в самом PHP — программной среде, на которой работают многие веб-приложения.
3
4
OpenAI сообщила, что исследовательская команда Calif обнаружила критическую ошибку с помощью GPT-5.6 Sol в рамках инициативы Patch the Planet, а Wiz независимо обнаружила и сообщила об обеих уязвимостях.18 В материалах Wiz и других публикациях также упоминаются Wiz Atlas, Gemini 4 Argon и GPT-5.6 Sol.
4
33 Однако имеющиеся описания не позволяют чётко распределить задачи между моделями — например, установить, какая именно участвовала в проверке атак или валидации исправлений.
Во вторичном описании хронологии, которое ссылается на PHP Foundation, указаны даты сообщений разработчикам PHP: от Calif — 11 августа, от Wiz — 24 августа, от OpenAI — 18 сентября.6 Это даты отправки сообщений, а не обязательно дни, когда каждая команда впервые обнаружила уязвимость.
Почему для раскрытия понадобились совместные действия
По словам OpenAI, коалиция из разработчиков, исследователей и компаний в сфере безопасности работала над проблемой два месяца, чтобы подготовить исправления и средства защиты до публичного раскрытия.18 Разработчики PHP руководили подготовкой исправлений и выпуском новых версий, а исследовательские и отраслевые партнёры помогали с анализом, технической поддержкой и координацией.
18
Патчи вышли 21 октября — на день раньше намеченного срока, 22 октября.14 Публикации связывали перенос даты с утечками и ранней доступностью исправленных контейнерных образов. PHP Foundation обвинила компанию Chainguard в нарушении эмбарго — договорённости не раскрывать информацию до согласованного времени. В доступных сообщениях это остаётся предметом спора, а не независимо установленным фактом.
6
35
38
Согласованное раскрытие уязвимостей — это баланс между скоростью и подготовкой. Если заранее не раскрывать детали, у разработчиков и поставщиков ПО остаётся время подготовить обновления. Но затягивание может увеличить риск для пользователей, если попытки атак уже начались. Описанная в публикациях схема OpenAI предполагает поэтапную работу: подтвердить проблему и подготовить исправление, дать поставщикам время на подготовку, подключить государственных партнёров, затем расширить оповещение и опубликовать рекомендации. При появлении утечек или признаков эксплуатации график может потребовать изменений.37
41
Попытки атак: что известно, а что нет
Amazon сообщила, что её система MadPot обнаружила попытку эксплуатации PHP2Shell 17 октября — за четыре дня до публичного раскрытия. В публикациях также описывались более широкие попытки эксплуатации после выхода патчей.5 Однако зафиксированная попытка — не то же самое, что подтверждённый успешный взлом. Доступные сведения не устанавливают, как злоумышленники узнали об уязвимости до раскрытия, и не содержат проверенного числа скомпрометированных серверов.
По данным Palo Alto Networks, в интернете обнаружили более 22,6 млн экземпляров, которые могли быть уязвимы для PHP2Shell.53 Важно понимать формулировку: это оценка потенциально подверженных риску систем, а не число серверов, на которых удалось подтвердить возможность атаки или факт взлома.
Власти призвали организации без промедления устранить уязвимости. В одной из публикаций говорится, что ведомства советовали отключать системы, если их нельзя быстро защитить.56 Cloudflare сообщила, что до публичного раскрытия включила правила защиты в межсетевом экране веб-приложений (WAF) для своих клиентов, использующих этот сервис.
12 Такие меры могут дополнить обновление, но не отменяют необходимости проверить версию PHP и установить исправление.
В качестве версий PHP с исправлениями указывались 8.2.35, 8.3.36, 8.4.27 и 8.5.12.8 Администраторам стоит сверить используемую версию с рекомендациями своего поставщика: номера пакетов могут отличаться в разных дистрибутивах и сервисах.
8
Урок PHP2Shell: возможности поиска должны расти вместе с возможностями исправлять
OpenAI также заявила о намерении предоставить защитникам субсидированный доступ к Daybreak на сумму 1 млрд долларов. Особое внимание, по её словам, будет уделено организациям с ограниченными ресурсами в сфере безопасности и тем, кто отвечает за защиту критически важных сервисов.25 Это один из способов расширить доступ к инструментам. Но случай PHP2Shell подчёркивает и другую задачу: подготовить исправления, вовремя сообщить о них и помочь установить их по всей цепочке поставок ПО.
ИИ может помочь обнаружить уязвимость, но заявления о том, кто и что именно нашёл, какие инструменты участвовали и были ли атаки успешными, требуют аккуратной проверки. История PHP2Shell позволяет сделать более сдержанный вывод: раннее обнаружение создаёт возможность подготовиться, но эта возможность имеет смысл только тогда, когда разработчики, поставщики и операторы успевают выпустить и установить исправления.
Studio Global AI
Продолжайте свое исследование
На этой странице есть ответ, подтвержденный источником, который вы можете продолжить внутри Studio Global.
Люди также спрашивают
Каков краткий ответ на вопрос «PHP2Shell: как ИИ-поиск уязвимостей проверил на прочность систему раскрытия ошибок»?
PHP2Shell — две критические уязвимости в PHP с оценкой CVSS 9,2 каждая; исправления выпустили 21 октября 2026 года.
Какие ключевые моменты необходимо проверить в первую очередь?
PHP2Shell — две критические уязвимости в PHP с оценкой CVSS 9,2 каждая; исправления выпустили 21 октября 2026 года. По словам OpenAI, Calif обнаружила одну из уязвимостей с помощью GPT 5.6 Sol, а Wiz независимо нашла и сообщила об обеих.
Что мне делать дальше на практике?
Amazon сообщила о попытке эксплуатации 17 октября — за четыре дня до публичного раскрытия.