GPT-5.6 Sol нашла уязвимости в ядре PHP, которым пользуется 70% сайтов: патч готовили 2 месяца

OpenAI профинансировала работу через программу Daybreak for Frontline Defenders, выделив субсидию в 1 млрд долларов на доступ к своим моделям кибербезопасности, и эти средства были задействованы практически сразу после запуска.

Что произошло?

Исследователь Райан Остин из фирмы Calif нашёл уязвимости в августе 2026 года, работая в рамках проекта OpenAI Patch the Planet и используя модель GPT-5.6 Sol. Независимо от него те же ошибки обнаружила компания Wiz (недавно приобретённая Google Cloud), которая использовала Gemini 4 Argon, GPT-5.6 Sol и собственный инструмент Wiz Atlas.

Уязвимости получили название PHP2Shell. Они связаны с тем, как движок PHP обрабатывает ситуации нехватки памяти и фатальные ошибки. Проблема не в каком-то плагине WordPress или модуле Drupal, а в самом ядре языка. Исследователи продемонстрировали два сценария атаки: удалённое выполнение произвольного кода (RCE, когда злоумышленник может запустить свою программу на чужом сервере) и утечку содержимого памяти сервера, аналогичную известной уязвимости Heartbleed.

Демонстрации проводились на WordPress, Drupal и Joomla без предварительной авторизации. При этом источник подчёркивает: результаты получены в условиях исследования, и не каждый сайт на PHP одинаково уязвим к немедленной эксплуатации.

Два месяца тишины перед штормом

По данным OpenAI, после обнаружения началась координированная работа: исследователи, PHP Foundation, провайдеры безопасности и правительственные агентства готовили исправление, не раскрывая деталей публично. Исследователь OpenAI Эрик Уоллес уточнил, что внутренние команды не просто сообщили о баге, а участвовали в разработке патча и средств обнаружения атак. Грег Брокман, сооснователь OpenAI, подтвердил двухмесячный срок координации.

Cloudflare развернула защитные правила в своём WAF (Web Application Firewall, сетевой экран для веб-приложений) ещё до выхода патча. Технический директор Cloudflare заявил, что правила покрывали известные векторы атак и были доступны всем клиентам, включая бесплатный тариф. Он прямо назвал эти правила временной мерой и призвал администраторов обновить PHP в 14:00 UTC.

Аккаунт АНБ (NSA, Агентство национальной безопасности США) рекомендовал немедленное обновление, а при невозможности быстро установить патч советовал отключить системы от сети.

Внутренние команды работали над патчем и детекторами, а не просто раскрывали баг. Конфиденциальные уведомления ушли правительствам и внешним агентствам заранее. : Эрик Уоллес, исследователь OpenAI

Почему это важно для рынка?

Субсидия OpenAI в 1 млрд долларов на Daybreak, это не благотворительность, а стратегическая ставка. Компания показывает, что GPT-5.6 Sol способен находить критические уязвимости уровня ядра, а не только помогать писать код. Wiz (Google Cloud) использовала и GPT-5.6 Sol, и Gemini 4 Argon, что делает эту историю не рекламой одного вендора, а подтверждением: ИИ-модели от разных компаний уже работают как инструмент аудита безопасности.

Источник прямо предупреждает: впереди как минимум год обнаружения подобных критических уязвимостей. Программное обеспечение, десятилетиями не проходившее глубокого аудита, теперь получает, цитируя источник, «самый масштабный аудит безопасности в истории».

Для российского рынка это значимо: WordPress и другие PHP-платформы массово используются в Рунете. Российские хостинги и администраторы должны обновить PHP до пропатченной версии, если ещё не сделали этого.

Что это значит для вас?

Авторам Дзена и владельцам блогов на WordPress: если ваш сайт работает на PHP (а WordPress без него не работает), проверьте версию PHP у своего хостера. Патч уже доступен. Обновление ядра PHP, это не то же самое, что обновление плагинов: попросите хостинг-провайдера подтвердить, что версия актуальна.

Маркетологам и предпринимателям: любой корпоративный сайт на WordPress, Drupal или Joomla попадает в зону риска. Дайте задание техническому специалисту проверить обновление. Cloudflare (даже бесплатный тариф) обеспечил временную защиту, но это именно временная мера, не замена патчу.

Тем, кто работает с ИИ в России: доступ к GPT-5.6 Sol из РФ ограничен, но сам факт показателен. Из доступных в РФ инструментов для анализа безопасности кода можно использовать YandexGPT и GigaChat, хотя их возможности в поиске уязвимостей уровня ядра пока не документированы публично.

Главный практический шаг: зайдите в панель управления хостингом, проверьте версию PHP и запросите обновление, если оно не установлено автоматически. Два месяца подготовки дали фору, но после публичного раскрытия окно для атак открыто, и медлить не стоит.