Эксперты сообщили об угрозе для сайтов Рунета из-за найденной ИИ «дыры»

Разработчики рассказали об угрозе для сайтов Рунета из-за «дыры» в PHP, обнаруженной с помощью искусственного интеллекта. Под угрозой в России могут оказаться десятки тысяч сайтов, сообщил в разговоре с РБК руководитель центра разработки больших языковых моделей MWS AI, входящей в МТС Web Services, Валентин Малых.

21 октября в Европе после обнаружения двух критических уязвимостей PHP временно отключили ряд сайтов госорганов, больниц и других организаций. Одну из ошибок нашли с помощью ИИ-модели GPT-5.6 Sol. Сайты приостанавливали работу в качестве меры предосторожности — уязвимости позволяют злоумышленникам удаленно запускать код на сервере.

PHP используется для создания сайтов, в том числе на системах управления содержимым «1С-Битрикс» и WordPress, сообщил Малых. Он сравнил язык с «Тришкиным кафтаном», указав на регулярно обнаруживаемые уязвимости — слабые места в коде, которыми могут воспользоваться злоумышленники.

«Основная проблема заключается в том, что, как правило, на PHP уязвимости закрываются очень долго», — сказал эксперт.

PHP — язык программирования, который используют для создания сайтов и веб-приложений. Его код выполняется на сервере: обрабатывает запросы посетителей, получает сведения из баз данных и формирует страницы, которые затем открываются в браузере.

Для защиты необходимо обновить программу, которая выполняет PHP-код на сервере. По словам Малых, сложность этой задачи зависит от того, как устроен конкретный ресурс. «Это может быть не так просто для самописного сайта, а для блог-платформ это напрямую зависит от владельцев платформ. Будем надеяться, что они оперативно отреагируют», — отметил он.

Бизнес-партнер по инновационному развитию ГК «Гарда» Лука Сафонов рассказал РБК, что во второй половине дня 21 октября крупные российские хостинг-провайдеры начали уведомлять пользователей об угрозе. По его словам, до выхода обновлений многие сайты приостановили работу или отключили. Исправления появились около 17:00 мск.

«В России огромное количество сайтов и приложений написаны на PHP, поэтому уязвимость потенциально могла затронуть десятки, а то и сотни тысяч ресурсов Рунета», — оценил Сафонов.

Он подчеркнул, что проблема находится в самом PHP, поэтому обновления системы управления сайтом недостаточно. «Обновление WordPress, Drupal, Joomla или другой CMS проблему не решает — менять нужно именно PHP. Под угрозой даже самый простой код на уязвимой версии», — пояснил эксперт.

По словам Сафонова, одна из ошибок возникает при нехватке памяти и позволяет выполнить код на сервере. Другая связана с сохранением состояния между запросами и может привести к утечке данных из памяти. Среди потенциально раскрываемых сведений он назвал пароли, токены сессий, ключи доступа и сертификаты. Такие утечки, по его оценке, трудно обнаружить.

До установки исправлений защиту могут обеспечить WAF — фильтры, которые отсеивают вредоносные запросы до их поступления на сайт. Однако Сафонов оговорил, что такой механизм работает только при отсутствии прямого доступа к серверу в обход фильтра.

«Искусственный интеллект в последнее время все чаще находит уязвимости, которые существовали годами и до сих пор просто не попадались на глаза. Появился инструмент, который умеет смотреть глубже и быстрее», — сказал эксперт, объясняя, почему подобные ошибки обнаруживают сейчас.

Сафонов ожидает «серьезной волны атак» и призвал незамедлительно обновить PHP. После установки исправлений он рекомендовал перезапустить веб-сервер и фоновые обработчики, чтобы в памяти не оставался старый код. Владельцам серверов, доступных из интернета до выхода обновления, эксперт также посоветовал проверить их на признаки взлома и сменить пароли, ключи и токены. Если установить исправления пока невозможно, он предложил временно ограничить доступ к ресурсу или использовать WAF.

Ведущий эксперт по управлению уязвимостями Positive Technologies Александр Леонов сообщил РБК, что обнаруженные ошибки получили оценку 9,2 из 10 по шкале CVSS 4.0, используемой для определения опасности уязвимостей.

«С их помощью злоумышленники могут удаленно запускать свой код на сервере без аутентификации», — пояснил Леонов. Проблема затрагивает разные способы запуска PHP, включая PHP-FPM и Apache с mod_php. По словам эксперта, Cloudflare уже фиксирует первые признаки атак, а в открытом доступе распространяется код для эксплуатации уязвимостей.

«Главная рекомендация — как можно скорее обновить PHP. <…> В бюллетене описаны и компенсирующие меры, но они лишь снижают риск некоторых видов атак. Полноценное решение — только обновление», — подчеркнул Леонов.

PHP широко распространен среди русскоязычных ресурсов. По данным W3Techs на 21 октября, его используют 90,9% русскоязычных сайтов, серверный язык которых удалось определить. В мире доля составляет 69,3%.

После выявления двух критических ошибок в PHP в Европе временно отключили ряд сайтов. Меры затронули Германию, Францию, Бельгию, Нидерланды и Финляндию. Среди отключенных ресурсов — сайты французских префектур, порта Роттердама, правительственный портал Нидерландов Overheid.nl и национальная футбольная ассоциация KNVB.

В ряде стран работу сайтов приостановили в качестве предосторожности. В Германии сообщили об отсутствии сведений об инцидентах безопасности. Финский государственный ИТ-центр Valtori заявил, что не зафиксировал попыток эксплуатации уязвимостей и что отключение не связано с утечкой данных.

Одну из ошибок компания Calif обнаружила с помощью модели GPT-5.6 Sol в рамках инициативы Patch the Planet, сообщила OpenAI. Принадлежащая Google компания Wiz независимо выявила обе уязвимости и уведомила разработчиков. По данным OpenAI, исследователи и специалисты по безопасности около двух месяцев координировали подготовку исправлений и защитных мер до публичного раскрытия информации.

Оставайтесь на связи с РБК в «Максе».