GPT-5.6 Sol нашла критические уязвимости в языке «70% сайтов мира» PHP — свои страницы заблокировали некоторые правительства и вузы в Европе
Исследователи работали с ИИ-моделью в рамках программы по безопасности, финансируемой OpenAI.
Демонстрация уязвимости PHP от компании Calif, которая её обнаружила. Источник: WSJ
- Разработчики, отвечающие за поддержку языка PHP, сообщили, что в нём обнаружено две критические уязвимости. Они выпустили патчи с исправлением для четырёх новых версий, начиная с PHP 8.2.35, в 17:00 мск 21 октября 2026-го. Для остальных исправления недоступны.
- Уязвимости нашли две компании в области кибербезопасности — Calif и Wiz. Они участвовали в программе OpenAI, которая предоставляла доступ к своим моделям для исправления ошибок в критически важной инфраструктуре.
Масштаб уязвимости и текущие последствия
- WSJ пишет, что на PHP работает 70% всех сайтов в мире. По данным исследовательского проекта W3Techs, это 69,3% сайтов на 21 октября 2026 года.
- На фоне сообщений правительства Финляндии и Нидерландов временно ограничили работу своих сайтов, пишет Bloomberg. Некоторые университеты в Германии и Австрии также отключили сайты, в том числе Венский и Фрайбургский. Ведомства Европы, Австралии, Японии и Великобритании призвали владельцев сайтов на время отключить их и обновить ПО.
- Техдиректор Cloudflare Дейн Кнехт заявил, что сервис уже фиксирует атаки. Начиная с 21 октября 6:02 мск Cloudflare по-умолчанию включила защиту для клиентов, использующих бесплатный или платный файрвол WAF, говорится на сайте компании.
- По словам Фолькера Душа, инженера некоммерческого фонда, поддерживающего PHP, это самая серьёзная уязвимость проекта за десять лет. Потенциально взломщики могут удалённо выполнять вредоносный код без авторизации, украсть конфиденциальные данные, пароли, изменить содержимое сайта или атаковать пользователей, пишет Reuters.
Как нашли уязвимость и при чём тут OpenAI
- Исследователь Райан Остин из компании Calif проверял исходный код PHP с помощью модели GPT-5.6 Sol от OpenAI ещё летом 2026 года. По данным WSJ, Calif сообщила о проблеме инженерам PHP 11 августа. Тогда об уязвимости не заявляли публично.
- Компания Wiz рассказала, что параллельно нашла уязвимости 19-21 августа, используя Gemini 4 Argon и GPT-5.6 Sol, и сообщила команде безопасности PHP в сентябре.
- 21 сентября PHP начала искать решение в сотрудничестве со сторонними компаниями в области кибербезопасности. Для исправлений написали более 10 тысяч строк кода.
- Дату выпуска патчей сначала назначили на 22 октября. Но 20 октября на Hacker News появился пост о планах PHP «от надёжного источника». Тогда разработчики решили поторопиться, предупредив публично, что 21 октября выпустят патчи для уязвимостей под общим названием PHP2Shell.
- 21 октября, OpenAI заявила, что помогала исследователям устранить уязвимости в PHP в рамках своей программы Patch the Planet. Её запустили в июне 2026-го: разработчикам дают финансирование и доступ к ИИ-моделям, чтобы они помогали искать ошибки в критической инфраструктуре.
- Компания Calif, по словам OpenAI, тоже работала в рамках Patch the Planet, а Wiz независимо нашла обе уязвимости, и её инженеры подключились к проекту позже.
- OpenAI также опубликовала инструмент для проверки текущей версии PHP и навык для Codex, который поможет администраторам выявлять уязвимые версии PHP.
- Компания обязуется выделить $1 млрд в виде субсидий в рамках программы Daybreak for Frontline Defenders — она ориентирована на организации, которые защищают жизненно важную инфраструктуру, но не имеют финансирования.