Команда разработчиков языка программирования PHP объявила о выпуске экстренных обновлений безопасности для устранения двух уязвимостей, классифицированных как «критические», которые получили оценку опасности 9,2 из 10. Эти уязвимости позволяют злоумышленникам удаленно выполнять вредоносный программный код без необходимости аутентификации, что дает им возможность получить полный контроль над затронутыми серверами.
Подробности уязвимостей и затронутые версии
Эти уязвимости особенно затрагивают серверы, использующие конфигурации mod_php в составе серверов Apache. Обновления, устраняющие данные риски, включают следующие версии PHP: 8.5.12, 8.4.27, 8.3.36 и 8.2.35. Команда разработчиков настоятельно призывает всех системных администраторов немедленно обновить свои серверы.
Также было отмечено, что версии PHP 8.1 и более ранние больше не получают официальной поддержки, что делает их пользователей уязвимыми перед угрозами; поэтому рекомендуется перейти на поддерживаемые версии или получать исправления безопасности от поставщиков программного обеспечения.
Роль искусственного интеллекта в обнаружении
Компания Wiz Research, специализирующаяся на кибербезопасности, сообщила, что обнаружение этих сложных уязвимостей в исходном коде PHP было осуществлено с помощью передовых моделей искусственного интеллекта, а именно Gemini 4 Argon и GPT-5.6 Sol. Модель Gemini 4 Argon сыграла ключевую роль в анализе кода и проверке правильности исправлений безопасности, что подчеркивает важность искусственного интеллекта в укреплении безопасности инфраструктуры программного обеспечения с открытым исходным кодом.
Почему обработка была отложена?
Команда разработчиков PHP признала наличие «структурного сбоя», который привел к задержке устранения одной из уязвимостей, первые признаки которой были замечены в 2024 году. Команда пояснила, что нехватка ресурсов и технические разногласия препятствовали решению проблемы в то время. Тем не менее, проверки безопасности, проведенные в рамках программы "Patch the Planet" компании OpenAI в августе и сентябре прошлого года, помогли предоставить конкретные доказательства того, как можно использовать эту уязвимость, что побудило команду ускорить процесс исправления после утечки информации об уязвимостях в социальных сетях.