Дві критичні вразливості в мові програмування PHP, яка, за оцінками, використовується на 70% вебсайтів світу, стали першим гучним прикладом нової ери кіберзагроз, керованих штучним інтелектом. Про існування помилок, об'єднаних під назвою «php2shell», стало відомо цього тижня, хоча дослідники виявили їх ще в серпні за допомогою моделей ШІ, зокрема GPT-5.6 Sol від OpenAI та Gemini 4 Argon від Google.
20 жовтня PHP Foundation оголосила, що випустить критичний патч протягом 24 годин. Наступного дня коаліція компаній, серед яких OpenAI, Wiz і Calif, офіційно розкрила інформацію про вразливості. Однак, за даними Amazon Web Services, хакери почали експлуатувати php2shell ще 17 жовтня — до публічного розкриття. Це свідчить про те, що інформація про помилки могла просочитися заздалегідь, адже кілька організацій, включно з Amazon, були попереджені про них раніше.
Після офіційного розкриття кількість спроб експлуатації сягнула мільйонів. Вебсайти по всьому світу, побудовані на вразливому коді PHP, змушені терміново впроваджувати патч. Найбільш постраждала платформа WordPress, за даними компанії, не зазнала шкоди. Водночас багато урядів і приватних організацій вирішили тимчасово відключити вебсервіси, щоб захистити їх від потенційних атак, поки патч не буде впроваджено. Це вберегло сайти від збитків, але позбавило людей доступу до послуг.
Інцидент став ілюстрацією ширшої тенденції: протягом жовтня зафіксовано понад 20 кіберінцидентів, багато з яких сталися цього тижня. Фахівці з безпеки давно попереджали, що потужніші інструменти ШІ дозволять зловмисникам ефективніше використовувати помилки в коді. Тепер ці попередження справджуються. Моделі ШІ стали значно кращими в обробці великих обсягів коду та автономних діях. Хакери дедалі успішніше запускають агентів ШІ для виконання зловмисних завдань, іноді об'єднуючи їх у групи, відомі як «рої агентів», які діють швидше, ніж людина встигає реагувати.
Єдиною відповіддю на ці загрози, на думку експертів, є проактивний захист: компанії мають самостійно «зламувати» власний код за допомогою ШІ, знаходити помилки раніше за зловмисників і виправляти їх до того, як хакери, озброєні ШІ, завдадуть удару. Саме так сталося з php2shell: кілька дослідницьких груп використовували моделі ШІ для пошуку вразливостей.
Для компаній, що продають захисні інструменти кібербезпеки на базі ШІ, ця ситуація є сприятливою. OpenAI активно розвиває програму Daybreak, яка надає організаціям доступ до найдосконаліших інструментів для захисту від атак, керованих ШІ. За два тижні кількість виявлених учасниками програми програмних помилок зросла з 858 до 1885, а кількість створених патчів — з 263 до 661. Співзасновник і президент OpenAI Грег Брокман привернув додаткову увагу до програми, опублікувавши в соцмережі X допис про роль компанії у виявленні вразливості PHP.
Інцидент з PHP демонструє, що кіберпараноя стає базовою умовою для будь-кого, хто веде бізнес онлайн. Дедалі частіше конкурентною перевагою стає не стільки сам продукт чи база клієнтів, скільки здатність захистити їх від атак, керованих штучним інтелектом.
9
