Миллионы попыток атак на новые уязвимости PHP были зафиксированы в течение нескольких часов после их публикации, согласно анализу Cloudflare, причем злоумышленники использовали общедоступные инструменты ИИ для ускорения действий. Уязвимости, объединенные под названием PHP2Shell, заставили команды безопасности и веб-администраторов срочно устанавливать исправления, хотя PHP Foundation не сообщает об успешной эксплуатации. Для бизнеса это важно, поскольку ИИ сократил путь от раскрытия уязвимости до попыток атаки и повысил цену медленного обновления систем.
Как исследователи превратили старые баги в эксплойты
Исследователи компании Calif первыми выявили PHP2Shell и создали рабочие эксплойты в начале августа, соединив передовые инструменты ИИ с глубокой экспертизой поведения и слабых мест PHP. Часть работы проходила в рамках программы OpenAI Patch the Planet. Некоторые базовые проблемы отмечались еще в 2024 году, но тогда считались слишком сложными для эксплуатации. После Calif те же недостатки независимо обнаружили исследователи OpenAI и компании Wiz, принадлежащей Google, также с помощью инструментов ИИ.
Суть произошедшего не в открытии ИИ принципиально нового класса ошибок, а в превращении прежде непрактичной атаки в реализуемую. Исследователь Wiz Саги Цадик отметил, что команда PHP знала об уязвимости годами, но не устраняла ее, поскольку человек-злоумышленник не мог ее использовать. Продвинутые модели помогли проанализировать код, проверить пути эксплуатации и подтвердить, какие теоретические слабости действительно срабатывают. Многие публично распространяемые эксплойты выглядят неработоспособными, поэтому рабочая цепочка атаки требует тщательной проверки.
Инцидент вписывается в общую перегрузку процессов управления уязвимостями, а не ограничивается PHP. Обновления безопасности Microsoft за один месяц охватили рекордные 1 453 уязвимости, усилив нагрузку на разработчиков, администраторов и небольшие ИТ-команды. Bank of America недавно нанял 1 000 консультантов для исправления недостатков, найденных системой Anthropic Mythos. Исследователи подчеркивают, что ИИ усиливает существующие процессы поиска и раскрытия уязвимостей, а скоординированное обновление остается главной защитой.
Что ускоренная эксплуатация с помощью ИИ меняет для компаний
Для компаний с веб-приложениями практическое изменение состоит в сокращении интервала между раскрытием уязвимости и массовым сканированием. PHP по своему назначению широко доступен через интернет, поэтому даже неподтвержденный эксплойт способен вызвать миллионы проверок за часы. Крупным организациям нужны автоматизированные учет активов и развертывание исправлений для всех версий PHP на сайтах, API и в устаревших проектах. Небольшие компании с одним администратором или внешним подрядчиком сильнее страдают от задержек, поскольку массовое сканирование не различает размер бизнеса.
Ограничения текущей угрозы должны учитываться в операционных решениях и выборе поставщиков. Массовые захваты систем или утечки не подтверждены, а PHP Foundation заявляет об отсутствии успешной эксплуатации. Передовые модели пока не находят все ошибки по простым запросам, как отметил исследователь Calif Райан Остин, а сложные случаи сочетают ИИ с экспертной проверкой. Заказчикам следует спрашивать поставщиков, как отслеживаются версии PHP, как быстро тестируются и внедряются исправления и какие компенсирующие меры действуют при невозможности срочного обновления.
Показателем развития тренда станет то, превратятся ли другие многолетние недостатки в массовом интернет-доступном ПО в практически эксплуатируемые после долгого бездействия. Исследователь Нильс Провос сомневается в потоке таких случаев, отмечая, что ИИ-проверки идут уже больше года, а для PHP2Shell все равно понадобилась высококвалифицированная команда. Бывший хакер NSA Джейк Уильямс добавляет, что мало платформ сопоставимы с PHP по охвату. Если похожие старые баги останутся теоретическими, действующие регламенты обновлений сохранятся, а если их станет больше, сроки от раскрытия до исправления придется сокращать.
