OpenAI заявляет, что ИИ помог найти критические уязвимости в PHP; исправление выпущено, обещано кредитов на 1 млрд долларов
Коротко
OpenAI сообщил 21 октября, что около двух месяцев работал с разработчиками PHP, компаниями по безопасности и ведомствами над исправлением двух критических уязвимостей PHP, одну из которых нашла компания Calif с помощью GPT-5.6 Sol. Исправленные версии PHP вышли 21 октября. OpenAI также пообещал 1 млрд долларов в субсидируемых кредитах на доступ по программе Daybreak for Frontline Defenders.
Читать полностью 2 мин чтения
OpenAI сообщил 21 октября, что за последние два месяца работал с разработчиками открытого ПО, исследователями и поставщиками средств безопасности над исправлением серьёзных уязвимостей PHP. CLS передал слова OpenAI о том, что с учётом серьёзности уязвимостей и широкого использования PHP это одна из самых значимых недавних уязвимостей. [ 1 , 3 ]
Компания по безопасности Calif использовала GPT-5.6 Sol, чтобы найти одну уязвимость, а компания по безопасности Wiz независимо обнаружила и сообщила о связанных уязвимостях, сообщили cnBeta, Jiemian и IT Home. Разработчики PHP руководили проверкой, исправлением и выпуском исправленных версий, а OpenAI, Wiz, Cloudflare и другие партнёры предоставили исследования, инженерную поддержку и координацию. IT Home сообщил, что две уязвимости, вместе названные PHP2Shell, имеют номера CVE-2026-109618 и CVE-2026-109619, и каждая из них имеет оценку CVSS v4.0 на уровне 9,2. [ 2 , 3 , 4 ]
cnBeta и IT Home сообщили, что обе уязвимости признаны критическими и могут позволить атакующим выполнять код удалённо без аутентификации. IT Home сообщил, что Фонд PHP выпустил экстренное обновление 21 октября с исправленными версиями PHP 8.5.12, 8.4.27, 8.3.36 и 8.2.35. IT Home и Huxiu оба заявили, что около 70% сайтов зависят от PHP. [ 2 , 4 , 5 ]
OpenAI заявил, что, насколько ему известно, уязвимость была найдена с помощью передового ИИ раньше, чем её обнаружили и использовали атакующие, что, по его словам, дало разработчикам так называемое «окно защитника» (Defender's Window). Компания также заявила, что те же возможности могут помочь атакующим быстрее создавать эксплойты и что это окно может сузиться по мере совершенствования моделей. [ 2 , 4 ]
OpenAI предложил пятиэтапную систему реагирования на серьёзные уязвимости: проверка и исправление ошибки у источника, раннее уведомление затронутых организаций, работа с государственными ведомствами, подготовка обновлений во всех продуктах и поддержка внедрения после исправления. cnBeta сообщил, что по делу PHP OpenAI связался с несколькими государственными органами США, включая CISA, и координировал действия с международными партнёрами. [ 2 , 3 , 4 ]
OpenAI пообещал 1 млрд долларов в субсидируемых кредитах на доступ через программу Daybreak for Frontline Defenders для организаций с ограниченными ресурсами безопасности, которые управляют критически важными сервисами. Компания также заявила, что предоставит инструмент проверки версий PHP и навык для Codex, а также будет собирать информацию о раскрытии уязвимостей и рекомендации через свой проект Patch the Planet. [ 1 , 2 , 3 , 4 ]
Huxiu дал более полный рассказ. Он сообщил, что обновление PHP было перенесено с 22 на вечер 21 октября, что несколько государственных и корпоративных сервисов в Нидерландах, Финляндии и Японии были отключены или переведены на обслуживание, и что Calif слила видео с демонстрацией атаки. Также Huxiu сообщил, что в проверке Фонда PHP признаны структурные сбои, вызванные нехваткой кадров и недостатками в процессе принятия решений её группы безопасности. Эти сведения приводятся только Huxiu. [ 5 ]
Почему это важно
IT Home и Huxiu пишут, что PHP используется примерно на 70% сайтов, поэтому уязвимость, позволяющая выполнять код удалённо без аутентификации, может затронуть множество сайтов и сервисов. OpenAI заявляет, что этот случай показывает: ИИ может помочь защитникам находить уязвимости раньше атакующих, однако та же возможность может ускорить и атаки.
Ключевые факты
- OpenAI 21 октября выступил с заявлением о серьёзных уязвимостях в PHP, назвав их одной из самых значительных недавних уязвимостей с учётом их серьёзности и широкого использования PHP. [ 1 , 4 ]
- Компания по безопасности Calif с помощью GPT-5.6 Sol нашла одну уязвимость, а компания по безопасности Wiz независимо обнаружила и сообщила о связанных уязвимостях. [ 2 , 3 , 4 ]
- Две уязвимости были признаны критическими и могли позволить атакующим выполнять код удалённо без аутентификации. [ 2 , 4 ]
- Команда PHP выпустила исправленные версии 21 октября и призвала пользователей обновиться; IT Home перечислил PHP 8.5.12, 8.4.27, 8.3.36 и 8.2.35. [ 2 , 4 , 5 ]
- OpenAI пообещал 1 млрд долларов в субсидируемых кредитах на доступ через программу Daybreak for Frontline Defenders. [ 1 , 2 , 3 , 4 ]
- OpenAI предложил пятиэтапную систему реагирования на серьёзные уязвимости. [ 2 , 3 , 4 ]
- OpenAI заявил, что предоставит инструмент проверки версий PHP и сопутствующий навык для Codex, чтобы помочь операторам определить уязвимые версии PHP. [ 2 , 4 ]
Подтверждено несколькими источниками
- OpenAI заявил, что вместе с разработчиками открытого ПО, исследователями и поставщиками средств безопасности помог исправить серьёзные уязвимости PHP, при этом Calif нашла одну уязвимость с GPT-5.6 Sol, а Wiz независимо обнаружила и сообщила о связанных уязвимостях. [ 2 , 3 , 4 ]
- PHP выпустил исправление 21 октября для двух критических уязвимостей, которые позволяют выполнять код удалённо без аутентификации. [ 2 , 4 , 5 ]
- OpenAI выделил 1 млрд долларов на субсидируемый доступ защитников к Daybreak через программу Daybreak for Frontline Defenders. [ 1 , 2 , 3 , 4 ]
- OpenAI описал поэтапную систему реагирования на уязвимости, охватывающую проверку и устранение, заблаговременное уведомление затронутых организаций, координацию с государствами, обновления продуктов и рекомендации по исправлению. [ 2 , 3 , 4 ]
- IT Home и Huxiu оба заявили, что около 70% сайтов зависят от PHP. [ 4 , 5 ]
Пока неясно
- Сколько уязвимостей нашла каждая сторона. cnBeta и IT Home пишут, что Calif нашла одну уязвимость, а Wiz отдельно сообщила о связанных; в документах нет точного количества для каждой стороны.
- Сбои 21 октября по данным Huxiu, включая отключение нидерландской системы цифровой идентификации, сайта парламента и сайта национального центра кибербезопасности, а также остановку сервисов финским государственным IT-провайдером и BambooHR. Только Huxiu сообщает об этом; в других документах сбоев не упоминается.
- Сообщение Huxiu о том, что Calif слила видео с демонстрацией атаки, а PHP перенёс обновление с 22 на 21 октября. Утверждение одного источника; заявление OpenAI в передаче других изданий его не упоминает.
- Были ли уязвимости использованы до выпуска исправления. OpenAI заявил, что, насколько ему известно, уязвимость была найдена с помощью ИИ раньше, чем её обнаружили и использовали атакующие; Huxiu сообщает об отключении сервисов в качестве меры предосторожности, но ни один документ не подтверждает атак.
Что пишут местные СМИ
Хронология, местное время
- Huxiu сообщил, что обновление безопасности PHP вышло вечером 21 октября. [ 5 ]
- CLS сообщил о заявлении OpenAI по уязвимости PHP и обещании 1 млрд долларов. [ 1 ]
- cnBeta опубликовал материал об анонсе OpenAI. [ 2 ]
- Jiemian сообщил о поэтапной системе реагирования OpenAI и кредитах Daybreak на 1 млрд долларов. [ 3 ]
- IT Home опубликовал материал 22 октября, включая исправленные версии PHP. [ 4 ]
- Huxiu опубликовал свой рассказ об обнаружении и последствиях. [ 5 ]