ИИ нашел дыру размером почти во весь интернет - В PHP обнаружены две критические дыры

 ИИ нашел дыру размером почти со весь интернет. Как ее закрыть?

"В PHP обнаружены две критические дыры, подробности скоро" – примерно так звучала вышедшая во вторник новость на Hacker News, которая произвела эффект разорвавшейся бомбы. PHP работает на двух третях сайтов, а найти дыры помогла GPT-5.6 Sol от OpenAI.

Утечку подтвердили сначала исследователи безопасности, потом сама команда PHP. По плану мир узнал бы о дыре только в четверг, когда крупные провайдеры уже подготовили бы защиту, – но из-за утечки патч пришлось выпустить на день раньше.

До его выхода интернет жил как в осаде. Нидерланды на всякий случай отключили DigiD – свой аналог входа на Госуслуги, в Японии на экстренное обслуживание ушли крупные сервисы, вплоть до карточной игры Shadowverse. А первые попытки атак хостинги заметили еще в среду утром, за несколько часов до исправления.

Сами дыры позволяют постороннему запустить на сервере свой код – без логина и пароля. Проще говоря, забрать сайт себе: интернет-магазин, блог на WordPress, корпоративный портал – неважно.

Хуже всего то, что сидят дыры не в самом сайте, а глубже – в языке, на котором он написан. Их нельзя закрыть, поправив код или обновив плагин: нужно обновлять сам PHP на сервере.

Патч уже вышел, но дыра размером с интернет закроется, только когда обновятся миллионы серверов – по одному, руками своих админов. А часть может не обновиться вовсе: старые версии PHP официальных исправлений не получат, а на них, по оценке исследователей, работает почти половина сайтов на PHP.

Сама находка случилась два месяца назад. Компания Calif искала уязвимости с помощью GPT-5.6 Sol, а параллельно и независимо обе дыры нашли исследователи из Wiz.

Дальше началась тихая спецоперация, о которой OpenAI рассказала (https://openai.com/index/coordinated-disclosure-of-critical-vulnerabilities/) только сегодня. Разработчики PHP писали исправления, Cloudflare и Wiz готовили защиту. К делу подключили американские киберагентства и Белый дом – там, как выяснилось, есть отдельное спецподразделение сверхинтеллекта.

Расчет был простой: когда мир узнает о дыре, у крупных игроков уже будет защита, а у всех остальных – готовый патч.

OpenAI называет такую фору "окном защитника": ИИ находит дыру раньше хакеров, поэтому есть время подготовиться. Окно было два месяца, но в последние полтора дня все пошло не по плану.

Вместе с новостью по сети разошелся скриншот инструмента для атаки PHP2Shell, причем, по данным исследователей, с подписью Calif – той самой компании, что искала дыру для защиты. Ничего странного в этом нет: рабочую атаку собирают, чтобы доказать опасность дыры и проверить патч. Но на баннере обещана совместимость со всеми версиями PHP начиная с 2012 года – и наружу утек уже не отчет защитников, а их оружие.