Плата по счетам за 40 лет технического долга: уязвимость PHP показала, как ИИ меняет правила кибервойны
В конце октября всплыл целый ряд серьёзных проблем в сфере кибербезопасности, но самой громкой из них стала уязвимость PHP2Shell. Под угрозой эксплойтов оказались бесчисленные сайты, включая ресурсы NASA, «Википедии», Белого дома и все остальные платформы, работающие на WordPress или Drupal (среди прочих). Злоумышленники потенциально могли получить доступ к конфиденциальным данным и запустить вредоносный код на хост-сервере.
В конце октября всплыл целый ряд серьёзных проблем в сфере кибербезопасности, но самой громкой из них стала уязвимость PHP2Shell. Под угрозой эксплойтов оказались бесчисленные сайты, включая ресурсы NASA, «Википедии», Белого дома и все остальные платформы, работающие на WordPress или Drupal (среди прочих). Злоумышленники потенциально могли получить доступ к конфиденциальным данным и запустить вредоносный код на хост-сервере.
Как отмечают в Институте инженеров электротехники и электроники (IEEE), пока что катастрофы удалось избежать: уязвимость обнаружили ИБ-исследователи и сообщили о ней в PHP Foundation, благодаря чему патч выпустили до того, как эксплойт попал в руки злоумышленников. Однако PHP2Shell может стать тревожным предупреждением о том, что нас ждёт в эпоху ИИ.
«Всё устаревшее программное обеспечение, написанное людьми за последние 40 лет, под ударом», — говорит руководитель исследований ИИ-безопасности в кибербез-стартапе Tolmo Мэтт Сюиш. «Теперь пришло время платить по счетам за технический долг», — добавляет он.
Устаревшие баги в PHP и ошибки памяти
PHP был создан в 1994 году и до сих пор широко используется на старых сайтах. Баг, лежавший в основе PHP2Shell, был задокументирован в PHP Foundation ещё в 2024 году. Проблема заключалась в стандартной ошибке нехватки памяти, когда объём памяти, выделенный под фрагмент данных, оказывается слишком мал. Обычно такие сбои просто приводят к падению программы — неприятному, но неопасному результату, поэтому на баг долгое время не обращали внимания.
«В любой момент времени есть куча баг-репортов, ожидающих исправления, которые приводят лишь к сбоям. Большинство людей не воспринимают их всерьёз», — поясняет доцент компьютерных наук Колумбийского университета Суман Яна.
Ранее в этом году ИБ-фирма Calif провела независимый аудит PHP при поддержке OpenAI. Всего за две недели исследователи с помощью ИИ-инструментов нашли способ использовать баг нехватки памяти для запуска произвольного кода на сервере для установки вредоносов или кражи критических данных. Мелкая ошибка моментально превратилась в критическую уязвимость, и команда Calif немедленно оповестила PHP Foundation.
PHP-апокалипсис: уже миллионы попыток атак, под угрозой 70% сайтов интернета
По словам Яны, эксплуатация такого бага требует выверенного перехода к конкретной ячейке памяти работающей программы и точного перезаписывания нужных бит для перехвата контроля над системой: «Это не то чтобы ракетостроение. Просто требуется много специфических рассуждений, делать которые утомительно. И, на мой взгляд, ИИ отлично с этим справляется».
Яна не утверждает, что ИИ может сделать всё в одиночку. «Но он очень сильно развивается: топ-0,1% экспертов теперь могут делать гораздо больше работы, а те, кто находится чуть ниже этого уровня, тоже смогут справляться с задачами без глубокого понимания всех технических деталей», — добавляет он.
ИИ-инструменты и формальная верификация в защите
После раскрытия уязвимости команде из четырёх инженеров потребовалось два месяца на выпуск патча. Яна объясняет это фундаментальной асимметрией: при исправлении ошибки нужно закрыть все векторы атаки и ничего не сломать, что создаёт колоссальную нагрузку на защитников открытого ПО
Чтобы успевать за хакерами, он предлагает давать разработчикам доступ к передовым ИИ-моделям и развивать инструменты формальной верификации. Патч может генерироваться LLM, после чего другая LLM генерирует математическое доказательство его корректности, а финальную проверку выполняет формальная программа (proof checker), так как языковые модели склонны галлюцинировать.
Доцент Института информационной безопасности Университета Джонса Хопкинса Мэтью Грин настроен менее оптимистично: «Никто не займётся системным решением этой проблемы, пока не произойдёт что-то по-настоящему ужасное». Он считает, что PHP2Shell не была достаточно масштабной, и серьёзный инцидент, который заставит выделить финансирование, случится ближе к началу 2027 года. А пока Грин советует не затягивать с базовой цифровой гигиеной и устанавливать обновления, когда разработчики их выкатывают. Яна тоже считает, что PHP2Shell — лишь начало: «Будем надеяться, что белые хакеры найдут уязвимости первыми, как в этот раз».
Релоцировались? Теперь вы можете комментировать без верификации аккаунта.