Минувшая неделя принесла целый поток серьёзных и критических уязвимостей программного обеспечения, которые затронули тысячи крупных сайтов и вызвали панику. Две уязвимости удалённого выполнения кода (RCE) в PHP, получившие название PHP2Shell, были обнаружены независимыми командами безопасности Calif и Wiz, которые оба использовали передовые ИИ-модели для поиска ошибок и создания работающих эксплойтов. По оценкам, уязвимость может затронуть более 70% интернета, пострадали тысячи сайтов, в том числе Фонд Викимедиа, DeviantArt, значительная часть правительства Великобритании, японские банковские системы и сайт The Traitors Би-би-си.
Одна из уязвимостей, CVE-2026-109618, на самом деле была отмечена в аудите безопасности 2024 года, проведённом PHP Foundation при финансировании Sovereign Tech Agency. Команда отложила её в сторону, так как у неё были более серьёзные проблемы и она не смогла договориться о способе исправления, рассудив, что по теоретической проблеме никто не сможет создать реальный эксплойт. ИИ-модели изменили этот расчёт. Они очень хорошо превращают расплывчатое описание уязвимости в полноценный эксплойт, а агенты теперь могут сканировать различия в патчах буквально через несколько мгновений после выпуска, чтобы выйти на саму ошибку.
Эмбарго рухнуло, когда пользователь petecooper написал о CVE на Hacker News, очевидно, не зная о существовании эмбарго. PHP Group поспешно перенесла публикацию патча с четверга 22-го на среду 21-е, однако исправление всё равно должно было выйти ещё через день. Утёкшие оценки CVSS 10.0 были также неверными: реальная оценка составляла 9.2. К моменту выпуска патча уязвимость уже эксплуатировалась в реальных условиях.
PHP Foundation возложила вину на Calif, которая, по сообщениям, слила видео с демонстрацией эксплойта, и на Chainguard, опубликовавшую исправления за шесть часов до окончания эмбарго. Последовательность событий запутанна, но похоже, что несколько связанных сбоев позволили злоумышленникам добраться до систем раньше, чем администраторы смогли их обновить.
Источник: Hacker News · Сводку подготовил HeadlinesBriefing