Исследователи безопасности обнаружили критические уязвимости в PHP — скриптовом языке с открытым исходным кодом, на котором работает около 70% веб-сайтов мира, — с помощью модели OpenAI.

Эти уязвимости, получившие общее название PHP2Shell, описывают как потенциально одни из самых серьезных, обнаруженных в PHP более чем за десятилетие, а некоторые эксперты проводят параллель с Heartbleed — печально известной уязвимостью в OpenSSL, раскрытой в 2014 году и позволявшей злоумышленникам считывать фрагменты памяти сервера.

Что обнаружили исследователи

Уязвимости были выявлены в ходе аудита, проведенного в августе 2026 года исследователями компании Calif, занимающейся вопросами безопасности. Команда использовала GPT-5.6 Sol — одну из моделей OpenAI — для анализа исходного кода PHP. Обнаружение уязвимостей приписывается Райану Остину из Calif.

Ошибки позволяют удаленно выполнять код и управлять памятью сервера. На практике это означает, что злоумышленник, находящийся в любой точке интернета, может заставить сервер выполнять инструкции, которые он никогда не должен был выполнять.

Значимость находки во многом определяется тем, где расположены уязвимости: в самом PHP, а не в каком-либо отдельном приложении или плагине, построенном на его основе.

Согласно результатам исследования, уязвимости могут привести к раскрытию конфиденциальных данных посетителей сайтов. Они также могут стать плацдармом для дальнейших кибератак на другие системы.

Как развивалось раскрытие информации

Генеральный директор Calif Тай Зыонг (Thai Duong) уведомил Фолькера Душа (Volker Dusch), работающего над PHP, 11 августа, что положило началоаметной скоординированной работе по устранению проблемы до того, как о ней узнают злоумышленники. Такой подход «сначала приватно» — это стандартная практика безопасности, известная как скоординированное раскрытие уязвимостей, при которой ошибки устраняются за кулисами до того, как детали становятся публичными.

К работе по устранению проблемы присоединились мейнтейнеры PHP, независимые исследователи, поставщики решений в области безопасности, а также американские ведомства, включая CISA (Агентство по кибербезопасности и защите инфраструктуры) и ONCD (Управление национального кибердиректора).

OpenAI объявила об инициативе "Patch the Planet" 21 октября 2026 года. Программа призвана мобилизовать защитников вокруг уязвимостей PHP2Shell и поддержать скоординированные усилия по установке патчей. Частичная утечка информации об уязвимостях вынудила команду ускорить выпуск патча до 22 октября.

В рамках инициативы OpenAI предоставляет 1 млрд долларов в виде субсидированного доступа к моделям. Цель — передать инструменты ИИ в руки защитников первого эшелона, работающих над подобными уязвимостями.

Почему поиск уязвимостей с помощью ИИ меняет картину

Эксперты, цитируемые в исследовании, провели параллель с Heartbleed. Они также подчеркнули, что обнаружение уязвимостей с помощью ИИ — палка о двух концах: та же способность, которая помогает защитникам находить бреши, может помочь злоумышленникам находить и использовать их.

Это противоречие лежит в основе обязательства OpenAI на 1 млрд долларов. Если модели позволяют быстрее выявлять критические уязвимости, борьба превращается в состязание за то, кто применит их первым. Субсидирование доступа для защитников — попытка склонить это состязание в пользу тех, кто устанавливает патчи.

Что это значит

Для операторов веб-сайтов первоочередная задача проста: обновиться. Патч существует, а частичная утечка означает, что часы пошли раньше, чем кто-либо хотел.

Для мира открытого кода PHP2Shell — еще одно напоминание о структурной проблеме: критическая интернет-инфраструктура часто держится на проектах, поддерживаемых небольшими командами, и эта зависимость становится системным риском при появлении уязвимостей такой серьезности. Активное участие американских ведомств в раскрытии информации показывает, насколько серьезно правительства теперь относятся к этой зависимости.

За чем следить дальше: как быстро сайты установят патч от 22 октября, будут ли зафиксированы случаи эксплуатации PHP2Shell вальных условиях и как OpenAI распределит 1 млрд долларов субсидированного доступа.