Бреши в PHP: шатдаун, патчи и сторонняя экспертиза

Разработчики, отвечающие за поддержку языка PHP, рассказали о выявлении двух критических уязвимостей и выпуске актуальных патчей для четырёх новых версий (начиная с 8.2.35).

На PHP сегодня завязано около 70% всех сайтов в мире, и после оглашения новости ряд госструктур и образовательных учреждений в Евросоюзе, Великобритании, Австралии и Японии временно ограничил работу своих веб-ресурсов. В Cloudflare сообщили, что уже фиксируют кибератаки (компания по-умолчанию включила защиту для клиентов, использующих бесплатный или платный файрвол WAF).

По оценкам экспертов, речь идёт о самых серьёзных PHP-уязвимостях за десять лет: эксплуатируя эти позиции, взломщики могут удалённо выполнять вредоносный код без авторизации, похитить конфиденциальные данные и изменить содержимое сайта.

Бреши обнаружили специалисты двух ИБ-организаций, участвовавших в программе OpenAI, которая предоставляла доступ к своим нейросетям для исправления ошибок в системах КИИ — Patch the Planet. Так, безопасник из Calif выявил проблему ещё летом (с помощью GPT-5.6 Sol) и уведомил инженеров о находке 11 августа. Представители же второй компании — Wiz — применяли GPT-5.6 Sol в паре с Gemini 4 Argon; они вышли на контакт с командой PHP в прошлом месяце.

В итоге, 21 сентября разработчики начали привлекать сторонних игроков в области кибербеза и, как заявляется, для исправлений написали более 10 тысяч строк кода.