ИИ помог найти дыры в PHP: сайты на WordPress пора обновить

Если ваш сайт работает на PHP, его нужно обновить: 21 октября разработчики PHP закрыли две критические уязвимости, через которые сайт можно взломать без логина и пароля. Допустим, у вас блог на WordPress на обычном хостинге. Код блога может быть в полном порядке, но уязвимость сидит глубже, в самом PHP, на котором этот блог работает.

Что случилось?

PHP (язык, на котором написаны WordPress, Joomla, Drupal и 1С-Битрикс) неправильно убирает за собой, когда запросу к сайту не хватает памяти. После такого сбоя в памяти остаются «мусорные» данные, и следующий запрос может их подхватить. Злоумышленник подбирает запросы так, чтобы этот мусор стал его кодом.

Для вашего блога это значит вот что. Исследователи Wiz показали взлом свежих WordPress, Drupal и Joomla без входа в админку. Отдельно они смогли читать из памяти сервера пароли, токены (электронные ключи доступа) и ключи API, то есть данные чужих запросов. Сильнее всего под ударом сервер Apache с модулем mod_php: там атака срабатывает раньше, чем запустится код самого сайта.

При чём тут ИИ?

Ошибки в коде PHP жили больше десяти лет. Превратить их в рабочую атаку мешала сложность: нужно было сцепить несколько ошибок и подогнать атаку под устройство памяти каждого сервера. В Wiz пишут, что для человека это было на пределе возможного, а с ИИ рабочие атаки для разных сайтов собирались за часы.

Calif нашла уязвимость с помощью GPT-5.6 Sol, Wiz независимо от неё нашла обе дыры. В Wiz работали с GPT-5.6 Sol и Gemini 4 Argon, и отдельно отмечают вклад Argon в поиск дыры и проверку заплатки. OpenAI называет эту находку одной из самых серьёзных проблем безопасности за последние годы. Компания предупреждает: те же возможности ИИ помогают и взломщикам, поэтому похожих находок в ближайшие месяцы станет больше.

Два месяца до публикации разработчики PHP готовили исправления, а OpenAI, Wiz, Cloudflare, AWS, Google, Microsoft и другие компании помогали с проверкой и защитой своих клиентов. Дистрибутивы Linux получили заплатки заранее.

Что это значит для вас?

Если блог стоит на обычном хостинге, напишите в поддержку и спросите, поставлены ли на ваш сервер заплатки PHP от 21 октября. По номеру версии в панели это не всегда видно: хостинг может поставить исправление в старую сборку, и цифры не изменятся. Если вы собираете PHP сами, нужна версия 8.2.35, 8.3.36, 8.4.27 или 8.5.12 и новее.

Если у вас своя VPS (арендованный сервер, которым вы управляете сами), обновите пакеты через менеджер своей системы и перезапустите PHP. С номером версии та же история. В Ubuntu 24.04 заплатка вышла в пакете 8.3.6-0ubuntu0.24.04.13. В Ubuntu 22.04 закрыта даже PHP 8.1, хотя сами разработчики PHP её больше не исправляют. Подробности для администраторов есть в первом и втором бюллетенях на GitHub и на странице Ubuntu.

А если сайт собирали вы сами вместе с ИИ, это хороший повод проверить и остальное. Как запускать сервисы на сервере без лишних дыр, мы разобрали в статье про ИИ-агента на Ubuntu. О похожей истории, где ИИ искал уязвимости в открытом коде, мы писали в новости про проверку от Anthropic.

Источник: бюллетень безопасности PHP от 21 октября 2026 года, исследование Wiz и пост OpenAI о Patch the Planet, сверено 21 октября.