Вразливість php2shell і роль ШІ в безпеці open source

21 жовтня 2026 року проєкт PHP випустив версії 8.5.12, 8.4.27, 8.3.36 і 8.2.35, щоб усунути дві критичні вразливості віддаленого виконання коду, які отримали назву «php2shell». Вразливості, зареєстровані як CVE-2026-109618 і CVE-2026-109619 та оцінені командою безпеки в 9,2 бала за CVSS v4.0, пов'язані з неправильною обробкою вичерпання пам'яті та станом use-after-free під час обробки вебзапитів. Згідно з рекомендаціями CISA, проблема стосується конфігурацій, що обслуговують вебтрафік, а компанія Tenable відносить походження вразливого коду аж до PHP 5.4.0. CISA радить оновитися якнайшвидше, починаючи із систем, доступних з інтернету, та ізолювати ті, які не можна оновити або які працюють на PHP 8.1 чи старших версіях; для них існують лише бекпорти у вихідному коді для версій 7.4, 8.0 і 8.1.

Amazon Threat Intelligence повідомила, що 17 жовтня, за чотири дні до офіційного розкриття, зафіксувала спробу експлуатації у своїх ханіпотах, уточнивши, що незрозуміло, як зловмисник отримав цю інформацію. 20 жовтня близько 15:00 UTC CVE почали поширюватися в мережі з неправильною датою й оцінкою; близько 20:00 UTC Calif помилково опублікувала відео з proof of concept, згодом видалене. Випуск патчів перенесли з 22 на 21 жовтня, на 14:00 UTC; того ж ранку о 07:41 UTC Chainguard опублікувала оновлені образи ще до офіційного розкриття. За даними AWS, спроби експлуатації тепер масові, але незрозуміло, чи вдалися б вони на реальних системах; на момент публікації свого попередження CISA не спостерігала успішних атак.

За даними PHP Foundation, про першопричину вразливостей повідомили Calif 11 серпня, Wiz 24 серпня і, незалежно від них, OpenAI 18 вересня. За інформацією Fortune, Calif використала GPT-5.6 Sol, а Wiz — Gemini 4 Argon, GPT-5.6 Sol і власний інструмент Wiz Atlas. У блозі, на який посилається Fortune, Wiz говорить про 70 відсотків інтернету, яких стосується проблема: ця оцінка не перевірена незалежно. Palo Alto Networks, також за даними Fortune, виявила 22,6 млн потенційно вразливих екземплярів.

Сама PHP Foundation повідомляє, що на початку 2026 року разом з Alpha-Omega проаналізувала PHP за допомогою моделі Claude Mythos від Anthropic і що використовує Daybreak Red від OpenAI для перевірки звітів та експлойтів. Від 1 липня 2026 року команда опублікувала 15 CVE і опрацювала понад 100 повідомлень, які виявилися недійсними, дублікатами або невідтворюваними. Як зазначає фонд, зростання досліджень за допомогою ШІ означає, що команда безпеки отримує значно більше повідомлень, ніж раніше, тоді як кожне рішення і кожен патч і далі залежать від безпосередньої роботи людей.

Ця історія свідчить, що мовні моделі роблять виявлення давніх дефектів у коді дедалі частішим, водночас збільшуючи обсяг перевірок, який лягає на людей-мейнтейнерів, що й відповідають за виправлення.

— Olya