Специалисты по безопасности выявили в PHP критические уязвимости, позволявшие удаленно выполнять код без авторизации. Бреши обнаружили с помощью ИИ-моделей в рамках инициативы Patch the Planet. Наибольшую опасность представляла эксплуатация через mod_php, позволявшая запустить атаку до выполнения кода приложения.
21 октября команда PHP выпустила экстренные обновления для версий 8.5.12, 8.4.27, 8.3.36 и 8.2.35. Исправления устраняют две проблемы: повреждение внутреннего состояния при нехватке памяти и использование устаревших данных после освобождения памяти. Для проверки систем OpenAI опубликовала инструмент php2shell-checker на GitHub.
Подготовка исправлений заняла около двух месяцев. В процессе участвовали разработчики PHP, представители компаний Calif, Wiz и Cloudflare, а также Агентство по кибербезопасности и защите инфраструктуры США (CISA) и Белый дом. Координация позволила подготовить патчи до публичного раскрытия информации.
OpenAI предлагает закрепить этот опыт в качестве типового регламента раскрытия уязвимостей, найденных ИИ. Компания стремится создать процедуру, которая ускорит обмен данными между разработчиками, исследователями и госорганами, позволяя выпускать исправления до того, как технические подробности станут общедоступны.
