В PHP закрыли уязвимость, которую нашли ИИ-модели
21 октября команда PHP выпустила экстренные обновления безопасности 8.5.12, 8.4.27, 8.3.36 и 8.2.35. Обновления закрывают критическую уязвимость в PHP, на котором работают сайты и CMS. Брешь нашли ИИ-модели в рамках инициативы Patch the Planet. Уязвимость существовала более десяти лет.
Коротко о главном
- Уязвимость позволяла удалённо выполнять код на сервере без авторизации.
- Исправления вышли 21 октября: PHP 8.5.12, 8.4.27, 8.3.36, 8.2.35.
- Самая опасная конфигурация — запуск через mod_php: атака срабатывала до выполнения кода приложения.
- На подготовку ушло около двух месяцев и согласования с Calif, Wiz, Cloudflare, CISA и Белым домом.
- OpenAI выложила диагностический инструмент php2shell-checker на GitHub.
Что именно нашли и как исправили
По данным OpenAI, брешь выявили ИИ-модели в рамках инициативы Patch the Planet. Уязвимости затрагивали установки PHP, которые обрабатывают веб-запросы. Уровень риска зависел от конфигурации сервера. Обновления закрывают две проблемы: повреждение внутреннего состояния при нехватке памяти и использование устаревших данных после освобождения памяти.
Наиболее опасным сценарием команда PHP назвала эксплуатацию через mod_php. В этом случае атаку можно было запустить ещё до того, как начнёт выполняться код приложения. Защитные механизмы самого сайта не помогали.
Подготовка исправлений заняла около двух месяцев и потребовала согласований между разработчиками PHP, специалистами Calif, Wiz и Cloudflare, Агентством по кибербезопасности и защите инфраструктуры США (CISA) и Белым домом. Участники координировали раскрытие информации, чтобы поставщики успели выпустить исправления до публичного объявления.
Чем это отличается от прежней практики
Обычно об уязвимости узнают, когда кто-то уже её нашёл и использует. Здесь проблему нашли ИИ-модели, а исправление вышло до публичного раскрытия технических деталей. OpenAI предлагает закрепить этот подход как типовой регламент раскрытия критических уязвимостей, обнаруженных ИИ, чтобы разработчики, исследователи безопасности и госструктуры быстрее обменивались информацией.
Для аудита запущенных установок PHP на GitHub выложен диагностический инструмент php2shell-checker. Разработчикам и администраторам советуют проверить серверы и обновить язык.
Что это значит для бизнеса в России
PHP — одна из самых распространённых основ для сайтов, интернет-магазинов и самописных внутренних систем, в том числе у российских компаний и агентств. Если ваш сайт или личный кабинет работает на PHP, риск зависит от версии и конфигурации сервера, а не от размера компании.
Что сделать уже сейчас:
- Узнать у подрядчика или своего администратора, какие версии PHP работают на серверах, и обновить до 8.5.12, 8.4.27, 8.3.36 или 8.2.35.
- Проверить, не используется ли mod_php, и по возможности перейти на другие способы запуска, если это позволяет конфигурация.
- Прогнать установки диагностическим инструментом php2shell-checker с GitHub.
- Зафиксировать в договоре с подрядчиком сроки установки критических обновлений безопасности, чтобы такие новости не заставали врасплох.
Модели уже находят уязвимости в чужом коде. Это аргумент за регулярный аудит своих систем, а не разовую проверку. Тема защиты данных и качества ИИ-систем подробно разобрана в материале краш-тест 27 LLM. Там видно, что технические сбои ИИ часто упираются в данные и настройки, а не в саму модель. Если вы только присматриваетесь к ИИ-инструментам, начните с материала что такое ИИ-агент простыми словами. Порядок внедрения описан в гайде как внедрить ИИ-агента в компании.
Частые вопросы
Какие версии PHP нужно обновить?
Экстренные обновления вышли для веток 8.5.12, 8.4.27, 8.3.36 и 8.2.35. Обновиться стоит всем, кто использует PHP для обработки веб-запросов.
Кто нашёл уязвимость в PHP?
По данным OpenAI, брешь выявили ИИ-модели в рамках инициативы Patch the Planet. Исправления готовила команда PHP совместно с Calif, Wiz, Cloudflare, CISA и Белым домом.
Чем опасна конфигурация mod_php?
При запуске через mod_php атаку можно было провести ещё до выполнения кода приложения, поэтому защита самого сайта не срабатывала. Команда PHP назвала этот сценарий наиболее опасным.
Заключение
Обновление PHP — задача на пару часов для администратора, но именно такие задачи чаще всего откладывают. Если хотите навести порядок в ИИ-инструментах и автоматизации без риска для данных, обсудите внедрение с AIPAI: подберём решение под ваши процессы и ограничения по данным. Оставить заявку можно на странице контактов.
