Миллионы попыток взлома: 5 вопросов о критической уязвимости в сети, которую нашел ИИ

Искусственный интеллект помог обнаружить критическую уязвимость в PHP — языке программирования, на котором работают миллионы веб-серверов по всему миру. Под ударом оказались примерно 70% сайтов.

Раскрытие уязвимости привело к гонке между специалистами по кибербезопасности, пытающимися как можно быстрее установить исправления, и хакерами, которые с помощью ИИ ищут способы эксплуатации уязвимости, описывает The Wall Street Journal. Из-за угрозы атак ряд европейских стран временно отключали государственные сайты и онлайн-сервисы в качестве меры предосторожности, пишет Reuters. Компания Cloudflare, предоставляющая защиту от DDoS-атак, зафиксировала «миллионы» попыток взлома сайтов после публичного раскрытия информации об уязвимости.

Уязвимости в серверах с операционными системами, использующими язык PHP, независимо друг от друга обнаружили две группы исследователей. Райан Остин из компании Calif выявил проблему еще в августе во время аудита исходного кода PHP при помощи GPT-5.6 Sol от OpenAI. Те же изъяны в ПО нашла команда по кибербезопасности Wiz — подразделения Alphabet: ее исследователи использовали собственную автономную систему Wiz Atlas, а также Gemini 4 Argon от Google и GPT-5.6 Sol. После этого Calif и Wiz координировали работу с разработчиками PHP и исследователями OpenAI, проверяя способы эксплуатации уязвимостей и готовя исправления.

Проблема существовала в коде PHP много лет, но прежде считалась практически непригодной для реального взлома, пока не появился ИИ, отмечает The Wall Street Journal.

Уязвимость получила название PHP2Shell. Она связана с тем, как PHP управляет памятью сервера. Специально сформированные запросы к сайту позволяют хакеру выполнять на сервере собственный код. Остин выяснил, как с помощью всего нескольких десятков специально сформированных запросов к серверу получить возможность управлять кодом, выполняющимся в его памяти. На небольших системах такая атака может занять считанные секунды, на более сложных — несколько часов.

При этом враждебному ИИ не обязательно красть пароль администратора или взламывать панель управления: уязвимую версию PHP можно заставить запустить постороннюю программу и отдать полный контроль над сервером.

PHP2Shell присвоили оценку 9,2 из 10 по шкале критичности CVSS, отмечает Reuters. Масштаб риска связан с распространенностью PHP. Этот язык используется для серверной части огромного числа сайтов и лежит в основе таких популярных систем управления контентом, как WordPress, Drupal и Joomla. Reuters оценивает его долю примерно в 70% сайтов, для которых удается определить используемый серверный язык.

«Уязвимы будут все серверы, использующие любую версию PHP, выпущенную за последние 20 лет, — заявила Reuters временно исполняющая обязанности гендиректора Drupal Association Тиффани Фаррис. — Эта проблема затрагивает большую часть интернета».

По словам сооснователя Wiz Ами Люттвака, PHP2Shell — «самая серьезная ИИ-уязвимость из всех когда-либо обнаруженных» и, вероятно, была слишком сложной, чтобы ее удалось найти без искусственного интеллекта. Но та же способность ИИ резко ускорять поиск способов эксплуатации ошибок работает и в пользу злоумышленников: после публикации патча модели могут быстро сравнить старый и новый код, понять, что именно разработчики исправили, и помочь создать рабочий эксплойт (атакующий код) для серверов, которые еще не успели обновиться. Именно поэтому подготовка патчей велась втайне, а после утечки информации на сайт Hacker News, разработчики форсировали публикацию пакетов обновления безопасности.

«Какой-нибудь парень в Twitter может взять эти исправления, прогнать их через ИИ и выложить скрипт для эксплуатации уязвимости. И тогда начнется настоящий ад», — сказал WSJ гендиректор Calif Тай Дуонг.

Особенно высок риск для небольших сайтов, которые ведут частные лица или организации с ограниченными техническими ресурсами, пишет Reuters. Многие из них размещены на виртуальном хостинге, где клиенты не управляют базовой серверной инфраструктурой напрямую. По словам специалистов по кибербезопасности, таким ресурсам может потребоваться больше времени для установки патчей, поэтому они могут оставаться уязвимыми еще долго после выхода исправлений, поясняет агентство.

ИИ стал двигателем «гонки за эксплуатацией» уязвимости, заявил Reuters сооснователь компании по исследованию киберугроз и реагированию на инциденты TLP Костин Райу. По его словам, следующим этапом может стать «массовый взлом каждого уязвимого веб-сервера в интернете».

Агентства по кибербезопасности в Европе, Австралии, Японии и Великобритании призвали пользователей PHP немедленно обновить программное обеспечение или отключить сайты до установки исправлений, передает Reuters. Агентство по кибербезопасности Нидерландов временно отключило свой сайт, заявив, что сделало это в качестве меры предосторожности из-за обнаруженных уязвимостей. Оператор онлайн-энциклопедии Wikipedia также сообщил, что вывел из работы неназванное число систем до тех пор, пока на них нельзя будет безопасно установить патчи.

В Нидерландах в офлайн также ушел государственный портал Overheid.nl, сайт порта Роттердама, ресурсы национальной футбольной ассоциации KNVB, пяти крупнейших политических партий и нескольких больниц. В Дании муниципальная IT-компания Kombit приостановила работу нескольких сервисов, включая национальную школьную коммуникационную платформу. В Финляндии государственный IT-провайдер Valtori отключил сервисы публичной сети, а МВД Франции перевело все свои сайты в режим профилактического обслуживания. В Японии облачный провайдер Sakura Internet приостановил одну из функций своей базы данных. 

Американская компания Cloudflare, которая помогает сайтам работать быстрее, защищает их от кибератак и делает доступ к ним стабильнее, сообщила, что, если до раскрытия уязвимости она фиксировала «тысячи» попыток взлома сайтов, то после их количество подскочило «до миллионов».

Раскрытие PHP2Shell поддержало акции компаний, которые могут выиграть от роста спроса на защиту сайтов и серверов. Бумаги Cloudflare подскочили на 5,3%. Компания непосредственно участвовала в подготовке к раскрытию уязвимости и заранее внедрила защиту для клиентов своего Web Application Firewall — системы, которая фильтрует входящий трафик и блокирует попытки атак на веб-приложения. 

Акции CrowdStrike подорожали примерно на 5,3%, а Palo Alto Networks — на 2%. Обе компании специализируются на корпоративной кибербезопасности и потенциально могут выиграть от новой волны расходов на защиту инфраструктуры. CrowdStrike 21 октября отдельно сообщила о расширении сотрудничества с Nvidia в области защиты ИИ-агентов.

Акции Fastly прибавили около 5,6%, а Akamai — 0,7%. Обе компании непосредственно участвовали в подготовке защитных мер по проблеме PHP2Shell.

Отраслевой фонд First Trust Nasdaq Cybersecurity ETF 21 октября вырос на 2,5%, тогда как индекс технологического сектора Nasdaq Composite прибавил только 1%.