Обнаружение с помощью искусственного интеллекта выявило десятилетнюю уязвимость PHP, которая может подвергнуть риску миллионы веб-сайтов

21 октября 2026 года правительства и организации по всему миру начали попытки устранить уязвимость в программном обеспечении, управляющем их веб-сайтами, которая могла дать хакерам доступ к данным и контроль над веб-сайтами. Уязвимость в PHP, языке программирования, на котором основана большая часть современного Интернета, вызвала срочные предупреждения со стороны Агентства национальной безопасности США, агентств по кибербезопасности и поставщиков программного обеспечения.

Исследователь из калифорнийской компании, занимающейся исследованиями в области безопасности, обнаружил уязвимость в августе 2026 года, используя усовершенствованную модель искусственного интеллекта от OpenAI. Компания предупредила некоммерческую организацию, управляющую PHP. Однако информация о дефекте просочилась еще до того, как компания PHP выпустила исправления для своего программного обеспечения, и, по словам официальных лиц Amazon Web Services, хакеры начали "широко" пытаться его использовать.

Уязвимость имеет последствия далеко за пределами одной компании или платформы, поскольку PHP является ключевым компонентом программного обеспечения, который помогает запускать миллионы веб-сайтов. Итак, что же такое PHP, какую роль сыграл искусственный интеллект в обнаружении уязвимости и стоит ли беспокоиться обычному пользователю?

PHP - это язык программирования, на котором работает большинство веб-сайтов. Чтобы современный веб-сайт предоставлял динамический контент, визуальные элементы и функции поиска, программа должна запускаться на веб-сервере и принимать пользовательский ввод, будь то ввод веб-адреса или нажатие ссылок и кнопок. По оценкам, около 70% веб-сайтов работают на PHP.

PHP работает на веб—сервере в двух основных частях: основная система PHP — движок и библиотеки времени выполнения - и отдельные PHP-скрипты, которые представляют собой пользовательские программы, которые фактически реализуют веб-сайт. Когда вы взаимодействуете с веб-сайтом, запускаются PHP-скрипты, которые принимают пользовательский ввод и выдают выходные данные, отображаемые вашим веб-браузером.

The current security issue sits directly in the core PHP system and the libraries it uses. When a vulnerability exists at this deep level, it can allow an adversary to exploit the system. In this case, they can run unauthorized commands on the computer hosting the website, which allows attackers to access data and gain full control of the website.

This vulnerability is not a mistake in an individual website's code. The issue lies in the core PHP system, making every unpatched system running PHP vulnerable. Since websites are accessible to anyone on the internet, adversaries can easily find PHP-based websites using automated tools. From there, they can run an exploit program that takes advantage of the vulnerability.

This exploit code is called PHP2Shell. This name comes from the fact that the exploit gives the attacker "shell access," a cybersecurity term for direct command-line control of the computer running the website. Shell access bypasses the website interface, giving adversaries a window to enter commands and access all the website's data.

What makes this vulnerability particularly interesting is how it was discovered. This exploit came to light through a process known as coordinated disclosure, in which cybersecurity researchers report the flaw to PHP developers before publicizing it.

This discovery shows the power of AI in cybersecurity. For decades, finding subtle software flaws required large teams of specialists manually reviewing code. Today's AI systems can examine vast codebases and identify unusual patterns in hours or days. These models can analyze millions of lines of code in seconds, spotting subtle memory management bugs that human auditors might miss over decades of software development. The PHP vulnerability has existed in the core PHP code for over a decade, and AI helped researchers find it.

However, this also shows that attackers can use these same tools to locate and exploit vulnerabilities. The same reasoning capabilities that help security researchers find flaws first can also let attackers rapidly scan the web for vulnerable targets and automate the creation of tools to exploit the vulnerabilities.

This illustrates why it is so critical for security teams to use AI to find vulnerabilities and report them safely and proactively. AI can also help release patches that mitigate these vulnerabilities.

Many government agencies, universities, hospitals and businesses rely on PHP-based systems. While individual internet users are unlikely to be directly affected, organizations that delay patching could expose sensitive data, risk having their operations disrupted or give attackers a foothold in larger networks.

PHP runs entirely on remote web servers. If you are an everyday internet user visiting websites, you do not need to download a patch or fix your personal computer.

However, if you manage a website, blog or server—even a small site built on popular content management systems such as WordPress—you should check your server administration panel or web host immediately to ensure your PHP software is updated to the latest patched version. If a third party hosts your website, check with them to see whether they have patched for these vulnerabilities.

The PHP2Shell discovery illustrates a new reality for cybersecurity. In our interconnected world, keeping web infrastructure secure is a continuous race. As AI tools become standard for both cyber defenders and online adversaries, maintaining fast patching habits remains our most essential defense.

This article is republished from The Conversation under a Creative Commons license. Read the original article.