В PHP устранили критическую уязвимость, найденную ИИ-моделями
iXBT.com ·
Специалисты по информационной безопасности обнаружили в PHP критические уязвимости , которые могли позволить злоумышленнику удалённо выполнять код на сервере без авторизации. По данным OpenAI, брешь выявили с помощью ИИ-моделей в рамках инициативы Patch the Planet. Уязвимости затрагивали установки PHP, обрабатывающие веб-запросы, а риск зависел от конфигурации сервера. Наиболее опасным сценарием команда PHP назвала эксплуатацию через mod_php, при которой атаку можно было запустить ещё до выполнения кода приложения.
21 октября команда PHP выпустила экстренные обновления 8.5.12, 8.4.27, 8.3.36 и 8.2.35. Исправления закрывают две уязвимости: одна связана с повреждением внутреннего состояния при нехватке памяти, другая — с использованием устаревших данных после освобождения памяти. Разработчикам и администраторам настоятельно рекомендуют обновить PHP. Для проверки установленных версий OpenAI также опубликовала диагностический инструмент php2shell-checker на GitHub.
По информации OpenAI, подготовка исправлений заняла около двух месяцев и потребовала согласования между разработчиками PHP, специалистами Calif, Wiz и Cloudflare, Агентством по кибербезопасности и защите инфраструктуры США (CISA) и Белым домом. Участники координировали раскрытие информации так, чтобы разработчики и поставщики успели подготовить исправления до публичного объявления об уязвимостях.
Теперь OpenAI предлагает закрепить этот подход в виде типового регламента раскрытия критических уязвимостей, обнаруженных ИИ. Компания рассчитывает, что согласованная процедура позволит разработчикам, исследователям безопасности и государственным структурам быстрее обмениваться информацией и выпускать исправления до того, как технические детали станут общедоступны.