ИИ находит уязвимости быстрее хакеров: что значит критическая ошибка в PHP для миллионов сайтов

Что случилось: короткий ответ

Две критические уязвимости в PHP закрыли 21 октября 2026 года. Нашла их ИИ-модель GPT-5.6 Sol от OpenAI, которая работала в рамках инициативы Patch the Planet. Компания Wiz пришла к тому же результату независимо: её платформа Wiz Atlas искала дыры вместе с Gemini 4 Argon. Обе находки указывают на одну и ту же пару уязвимостей, получившую номера CVE-2026-109618 и CVE-2026-109619 и прозвище php2shell.

Масштаб понятен по одной цифре. По данным W3Techs на 21 октября 2026 года, PHP используют 69,3% сайтов, у которых вообще можно определить серверный язык (цифру приводит издание Tamindir). Точного подсчёта «миллионы» в исходных материалах нет: это порядок величины, а не проверка каждого домена. Речь о заметной части интернета, включая сайты на WordPress, Drupal и Joomla.

Дыры закрыты, патчи вышли. Значение истории в другом: критическую уязвимость в инфраструктурном ПО нашли две независимые ИИ-модели, а исправление координировали два месяца в пять этапов. Участвовали разработчики PHP, Wiz, Cloudflare и американские ведомства, включая CISA и Белый дом.

Три слова, которые встретятся дальше. CVE: международный идентификатор уязвимости, по нему ищут официальные описания. Эксплойт: конкретный способ воспользоваться дырой. Патч: исправление, которое устанавливают на сервер.

Почему это не рядовая новость, а переломный момент

Сообщения об уязвимостях выходят каждый день, и большинство из них не выходит за пределы узкого круга специалистов. Здесь другой случай: под угрозой язык, на котором работает большинство сайтов. Две независимые системы пришли к одному результату. Это делает метод воспроизводимым, а не случайным совпадением.

Роли распределились так. GPT-5.6 Sol нашла проблему. Wiz проверила её на своей платформе. Gemini 4 Argon, по данным Wiz, пригодилась шире: помогла разработать эксплойты для проверки, построить детекцию атак и убедиться, что патч действительно закрывает дыру (отчёт The Decoder). Такой цикл раньше занимал недели и требовал нескольких специалистов разного профиля: одного на поиск, второго на проверку, третьего на тесты исправления.

OpenAI называет находку одной из самых значимых проблем безопасности за последнее время и ждёт, что число похожих случаев резко вырастет в ближайшие месяцы. Это прогноз компании, а не статистика. Относиться к нему стоит как к сигналу о темпе, а не как к готовому числу.

Громкий заголовок не всегда равен громкому факту. В истории про «взлом Redis за 27 минут» «самостоятельный взлом» не подтвердился, а найденные уязвимости оказались старыми. Разница с php2shell в доказательствах: здесь есть номера CVE, официальные патчи и независимая проверка второй компанией.

Поиск таких ошибок раньше держался на узком круге исследователей, а на разбор одной цепочки уходили месяцы. Модель не заменила специалистов. Она сняла часть рутины: прочитать больше кода, чем человек успевает за то же время.

Как ИИ находит уязвимости: простыми словами

Механика проще, чем звучит. Модель прогоняет большие объёмы кода и документации и ищет места, где поведение программы расходится с ожидаемым. Человек читает выборочно, у него ограничено время. У модели ограничение другое: объём контекста, но он измеряется миллионами строк.

У php2shell две разные причины, и обе ведут к одному результату. CVE-2026-109618 вызывает повреждение памяти при её нехватке: специально сформированный запрос доводит сервер до аварийного прерывания, после чего повреждённой памятью можно воспользоваться. CVE-2026-109619 связана с устаревшим глобальным состоянием, которое переходит от одного запроса к другому. Обе позволяют неаутентифицированному атакующему выполнить свой код на веб-сервере, отправив специально сформированные HTTP-запросы (технический разбор AlmaLinux).

Что это значит на практике. RCE, или удалённое выполнение кода, означает, что чужой код запускается на сервере с правами пользователя, под которым работает PHP. Логин не нужен, вход в админку тоже. PHP подтвердил полное удалённое выполнение кода по HTTP против mod_php в Apache с дефолтными лимитами, причём до того, как начнёт выполняться код приложения. mod_php: модуль, который встраивает PHP прямо в веб-сервер Apache; на такой связке работает заметная часть давно настроенных установок.

Угроза не гипотетическая. Есть описание, есть подтверждённый вектор атаки, есть исправления. Разбор похожего сценария, где модель нашла ошибку в постквантовой криптографии, показывает ту же логику: ИИ ускоряет проверку гипотез, которые человек откладывал.

Кого касается уязвимость и что делать владельцам сайтов

PHP выпустил исправления 21 октября 2026 года в версиях 8.5.12, 8.4.27, 8.3.36 и 8.2.35. Если на сервере стоит более ранняя сборка из поддерживаемой линейки, обновление обязательно (перечень исправленных версий).

Отдельная история с дистрибутивами Linux. AlmaLinux 8, 9 и 10 поставляют уязвимые версии PHP, а патчи для всех потоков, которые поддерживает дистрибутив, уже лежат в тестовом репозитории (инструкция AlmaLinux). Администратору нужно подключить тестовый репозиторий, обновить пакеты и перезапустить php-fpm, а на связке с mod_php перезапустить httpd.

Самая частая ошибка: обновить WordPress, плагины и тему. Этого недостаточно, потому что дыра находится в самом PHP, а не в CMS. Исследователи показали удалённое выполнение кода без входа в аккаунт на установках WordPress, Drupal и Joomla, так что популярная платформа защитой не служит.

Короткий чек-лист для владельца сайта:

1. Узнайте точную версию PHP: посмотрите вывод команды php -v или напишите в поддержку хостинга.
2. Сравните её с исправленными: 8.5.12, 8.4.27, 8.3.36, 8.2.35.
3. Обновите PHP сами или отправьте провайдеру заявку со ссылкой на CVE-2026-109618 и CVE-2026-109619.
4. Убедитесь, что сервис перезапущен: без перезапуска php-fpm или httpd старая версия может остаться в памяти.
5. Проверьте результат повторно, а не на слово: версия должна измениться.

Если сайт живёт на управляемом хостинге, обновление обычно делает провайдер. Проверить всё равно стоит самому: заявка в поддержку с номерами CVE ускоряет реакцию и оставляет след в переписке.

Обратная сторона: ИИ снижает порог для атакующих

Главное предупреждение OpenAI звучит неудобно: те же возможности, которые помогают находить дыры, помогают и нападать. Языковые модели автоматически подстраивают эксплойт под разные версии PHP, конфигурации и раскладки памяти (заявление компании передаёт The Decoder).

Что это меняет на деле. Раньше эксплойт под одну установку приходилось вручную переделывать под другую: другая версия, другой набор расширений, другое расположение данных в памяти. На каждую переделку уходили часы и дни, и атака редко масштабировалась дальше нескольких похожих серверов. Модель делает эту работу автоматически, и барьер для распространения атаки на разные установки падает.

Границы честности. Речь о снижении порога, а не о готовом инструменте для любого желающего. Навыки, инфраструктура и понимание цели всё ещё нужны. Тренд при этом важен для планирования защиты: скорость появления эксплойтов после публикации патча будет расти, а окно между раскрытием и атакой сокращаться.

Хронология: как чинили уязвимость два месяца в пять этапов

У истории две линии, и они не противоречат друг другу, а дополняют одна другую.

• 2024 год. PHP Foundation сообщает, что первые признаки проблемы с памятью, лежащей в основе одной из уязвимостей, появились ещё тогда. Рабочего вектора атаки не было, решения расходились, ресурсов не хватало, и исправление откладывалось (история вопроса от PHP Foundation).
• 11 августа 2026 года. Исследователь под ником Calif сообщает о работающем методе удалённого выполнения кода. Проблема получает наивысший приоритет.
• Осень 2026 года. GPT-5.6 Sol в рамках Patch the Planet находит уязвимость, Wiz независимо подтверждает её через Wiz Atlas и Gemini 4 Argon.
• Два месяца и пять этапов. Исправление координируют разработчики PHP, Wiz, Cloudflare и американские ведомства, включая CISA и Белый дом. Детали роли ведомств в открытых материалах не раскрываются.
• 21 октября 2026 года. Патчи выходят в версиях 8.5.12, 8.4.27, 8.3.36 и 8.2.35. Обновление, изначально запланированное на 22 октября, переносят на день раньше после того, как идентификаторы уязвимостей разошлись по сети.

Вывод из хронологии спокойный. Инженеры PHP работали над проблемой годами, а ИИ-находка сработала как катализатор: дала подтверждённый вектор, независимую проверку и повод синхронизировать участников. Замена специалистов здесь не произошла, ускорилась их работа.

Что будет дальше: прогноз и как готовиться

OpenAI ожидает резкого роста числа находок масштаба php2shell в ближайшие месяцы и предлагает отработанный процесс как повторяемую схему: модель находит, вторая модель или платформа подтверждает, координатор собирает участников, патч выходит синхронно с раскрытием. Такая схема снижает риск, что уязвимость попадёт в открытый доступ раньше исправления.

Для владельца сайта выводы практические. Держите PHP и CMS в актуальном состоянии. Читайте уведомления безопасности, а не только новости индустрии. Не откладывайте патчи на «после релиза». Оценивайте риск по версии, а не по названию платформы.

Полезно помнить пропорцию. По данным VulnCheck, находят тысячи уязвимостей, а эксплуатируются на практике лишь 1,3%. Паниковать из-за каждой новости не нужно, а вот обновлять то, что реально используется на вашем сервере, нужно регулярно.

Для руководителей вывод шире: ИИ в кибербезопасности перестал быть экспериментом. Он меняет скорость, с которой находятся и закрываются дыры, и это стоит заложить в процессы: регламент обновлений, ответственного за инфраструктуру, понятный порядок действий при критическом уведомлении. Ясность и регулярность полезнее паники.

Коротко о терминах

• CVE: международный идентификатор уязвимости. По номеру находят официальное описание и статус исправления.
• Эксплойт: конкретный способ воспользоваться уязвимостью.
• RCE: удалённое выполнение кода. Атакующий запускает свой код на чужом сервере.
• Патч: исправление, которое устанавливают на сервер или в дистрибутив.
• mod_php: модуль, встраивающий PHP в веб-сервер Apache.
• Раскладка памяти: порядок, в котором данные программы расположены в памяти. Меняется от версии к версии и от настроек к настройкам.

Есть вопрос или заметили неточность? Напишите нам, мы дополним разбор.