Правительства и организации по всему миру начали экстренные работы по устранению 21 октября 2026 года после раскрытия уязвимости в PHP — языке программирования, на котором работает значительная часть современного интернета. Эта ошибка может дать хакерам доступ к данным и контроль над веб-сайтами, что побудило Агентство национальной безопасности США, структуры по кибербезопасности и поставщиков программного обеспечения к экстренным предупреждениям.

Исследователь компании Calif, занимающейся исследованиями в области безопасности, обнаружил уязвимость в августе 2026 года с помощью продвинутой модели искусственного интеллекта от OpenAI. Фирма уведомила некоммерческую организацию, управляющую PHP. Однако информация об уязвимости утекла до того, как организация PHP выпустила исправления, и, по словам сотрудников Amazon Web Services, хакеры начали «массово» предпринимать попытки ее эксплуатации.

Эта уязвимость имеет последствия далеко за пределами одной компании или платформы, поскольку PHP является ключевым программным обеспечением, на котором работают миллионы веб-сайтов. Итак, что такое PHP, какую роль ИИ сыграл в обнаружении уязвимости и стоит ли обычному пользователю беспокоиться?

PHP: основа интернета

PHP — это язык программирования, на котором работает большинство веб-сайтов. Чтобы современный сайт предоставлял динамический контент, визуальные элементы и функции поиска, программа должна работать на веб-сервере и обрабатывать ввод пользователя — будь то ввод веб-адреса или нажатие на ссылки и кнопки. По оценкам, около 70% веб-сайтов работают на PHP. Поэтому слабость в PHP — это не дефект одного приложения, а уязвимость в уровне, который одновременно разделяют миллионы сайтов.

PHP работает на веб-сервере из двух основных частей: ядра PHP — движка и библиот времени выполнения — и отдельных PHP-скриптов, пользовательских программ, которые непосредственно реализуют веб-сайт. Когда посетитель взаимодействует с сайтом, PHP-скрипты выполняются, обрабатывают ввод пользователя и формируют вывод, отображаемый в браузере.

Уязвимость

Проблема безопасности находится непосредственно в ядре PHP и используемых им библиотеках. Когда уязвимость существует на таком глубоком уровне, злоумышленник может использовать ее для атаки на систему. В данном случае злоумышленники могут выполнять несанкционированные команды на компьютере, где размещен сайт, получая доступ к данным и полный контроль над ним.

Важно отметить, что это не ошибка в коде отдельного сайта. Поскольку проблема находится в ядре PHP, уязвим каждый непропатченный сервер с PHP. А поскольку веб-сайты доступны любому пользователю интернета, злоумышленники могут легко находить цели на PHP с помощью автоматизированных инструментов, а затем запускать эксплойт, использующий эту уязвимость. В результате возникает гонка между администраторами, устанавливающими исправления, и злоумышленниками, сканирующими еще непропатченные серверы, — динамика, уже проявившаяся в массовых попытках эксплуатации, о которых сообщили сотрудники Amazon Web Services.

Эксплойт называется PHP2Shell — название происходит от предоставляемого им «доступа к shell» (shell access), термина в кибербезопасности, означающего прямой контроль над командной строкой компьютера, на котором работает сайт. Доступ к shell в обходе веб-интерфейса дает злоумышленникам возможность вводить команды и получать доступ ко всем данным сайта.

ИИ: палка о двух концах

Особый интерес вызывает то, как была обнаружена эта уязвимость. Она стала известна благодаря координированному раскрытию — процессу, при котором исследователи кибербезопасности сообщают об ошибках разработчикам PHP до их публичного разглашения. В данном случае между закрытым сообщением в августе и публичным раскрытием в октябре прошло около двух месяцев.

Этот случай подчеркивает возможности ИИ в кибербезопасности. На протяжении десятилетий поиск тонких программных дефектов требовал больших команд специалистов, вручную проверяющих код. Современные ИИ-системы могут анализировать огромные кодовые базы и выявлять необычные закономерности за часы или дни, просматривая миллионы строк кода и обнаруживая тонкие ошибки управления памятью, которые аудиторы-люди могли пропустить за десятилетия разработки. Уязвимость PHP существовала в ядре более десяти лет, и ИИ помог исследователям ее найти. Этот случай показывает, как меняется масштаб обнаружения уязвимостей: один исследователь с ИИ может выявить ошибки, которые раньше требовали больших команд.

Но те же инструменты могут служить и злоумышленникам. Способности к рассуждению, помогающие исследователям безопасности первыми находить дефекты, позволяют и противникам быстро сканировать интернет в поисках уязвимых целей и автоматизировать создание эксплойтов. Это показывает, насколько критически важно для команд безопасности использовать ИИ для поиска уязвимостей и их безопасного и активного информирования — и почему ИИ также может помочь в выпуске исправлений, снижающих эти угрозы.

Стоит ли беспокоиться?

Многие государственные учреждения, университеты, больницы и компании полагаются на системы на базе. Хотя обычные интернет-пользователи вряд ли пострадают напрямую, организации, затягивающие с установкой исправлений, могут подвергнуть риску конфиденциальные данные, нарушить свою работу или дать злоумышленникам плацдарм для проникновения в более крупные сети.

PHP полностью работает на удаленных веб-серверах. Если вы обычный интернет-пользователь, просматривающий сайты, вам не нужно скачивать исправление или настраивать свой компьютер.

Однако если вы управляете веб-сайтом, блогом или сервером — даже небольшим сайтом на популярных системах управления контентом, таких как WordPress, который сам работает на PHP, — вам следует немедленно проверить панель администрирования сервера или хостинг-провайдера, чтобы убедиться, что PHP обновлен до последней исправленной версии. Если ваш сайт размещает сторонний провайдер, свяжитесь с ним и убедитесь, что он установил исправления для этих уязвимостей.

Обнаружение PHP2Shell иллюстрирует новую реальность кибербезопасности. Во взаимосвязанном мире защита веб-инфраструктуры — это непрерывная гонка. По мере того как ИИ-инструменты становятся стандартом как для защитников, так и для злоумышленников, поддержание практики быстрого обновления остается нашей важнейшей защитой.

Автор статьи — Doug Jacobson, университетский профессор кафедры электротехники и компьютерной инженерии Университета штата Айова. Статья переиздана из The Conversation по лицензии Creative Commons; прочтите оригинальную статью. Впервые этот материал был опубликован на Fortune.com.