Уязвимость php2shell и роль ИИ в безопасности open source

21 октября 2026 года проект PHP выпустил версии 8.5.12, 8.4.27, 8.3.36 и 8.2.35, чтобы устранить две критические уязвимости удалённого выполнения кода, получившие название «php2shell». Уязвимости, зарегистрированные как CVE-2026-109618 и CVE-2026-109619 и оценённые командой безопасности в 9,2 балла по CVSS v4.0, связаны с неправильной обработкой исчерпания памяти и состоянием use-after-free при обработке веб-запросов. Согласно рекомендациям CISA, проблема затрагивает конфигурации, обслуживающие веб-трафик, а компания Tenable возводит происхождение уязвимого кода к PHP 5.4.0. CISA советует обновиться как можно скорее, начиная с систем, доступных из интернета, и изолировать те, которые обновить нельзя или которые работают на PHP 8.1 и старше; для них существуют только бэкпорты в исходном коде для версий 7.4, 8.0 и 8.1.

Amazon Threat Intelligence сообщила, что 17 октября, за четыре дня до официального раскрытия, зафиксировала попытку эксплуатации в своих ханипотах, уточнив, что неясно, как злоумышленник получил эту информацию. 20 октября около 15:00 UTC CVE начали распространяться в сети с неверной датой и оценкой; около 20:00 UTC Calif по ошибке опубликовала видео с proof of concept, позже удалённое. Выпуск патчей перенесли с 22 на 21 октября, на 14:00 UTC; в тот же день в 07:41 UTC Chainguard опубликовала обновлённые образы ещё до официального раскрытия. По данным AWS, попытки эксплуатации теперь носят массовый характер, но неясно, увенчались бы они успехом на реальных системах; на момент публикации своего предупреждения CISA не наблюдала успешных атак.

По данным PHP Foundation, о первопричине уязвимостей сообщили Calif 11 августа, Wiz 24 августа и, независимо от них, OpenAI 18 сентября. По сведениям Fortune, Calif использовала GPT-5.6 Sol, а Wiz — Gemini 4 Argon, GPT-5.6 Sol и собственный инструмент Wiz Atlas. В блоге, на который ссылается Fortune, Wiz говорит о 70 процентах интернета, затронутых проблемой: эта оценка не проверена независимо. Palo Alto Networks, также по данным Fortune, выявила 22,6 млн потенциально уязвимых экземпляров.

Сама PHP Foundation сообщает, что в начале 2026 года вместе с Alpha-Omega проанализировала PHP с помощью модели Claude Mythos от Anthropic и что использует Daybreak Red от OpenAI для проверки отчётов и эксплойтов. С 1 июля 2026 года команда опубликовала 15 CVE и обработала более 100 сообщений, которые оказались недействительными, дублирующимися или невоспроизводимыми. Как отмечает фонд, рост исследований с помощью ИИ означает, что команда безопасности получает гораздо больше сообщений, чем раньше, тогда как каждое решение и каждый патч по-прежнему зависят от непосредственной работы людей.

Эта история показывает, что языковые модели делают обнаружение давних дефектов в коде всё более частым, одновременно увеличивая объём проверок, ложащихся на людей-мейнтейнеров, которые и несут ответственность за исправления.

— Olya