ИИ нашёл две уязвимости в PHP с оценкой 9.2 из 10: кибербезопасность миллионов сайтов под угрозой

Уязвимости CVE-2026-109618 и CVE-2026-109619 получили оценку CVSS 9.2 из 10, что означает максимально высокий уровень опасности. Их обнаружили с помощью нейросетей Gemini 4 Argon и GPT-5.6 Sol, а размер исправления превысил 10 тысяч строк кода. Это один из первых публичных случаев, когда ИИ нашёл критическую проблему кибербезопасности в языке, на котором построена значительная часть интернета.

Что именно происходит при атаке?

Суть уязвимости в том, как PHP управляет памятью. Атакующий заставляет интерпретатор PHP исчерпать оперативную память (вызывает ошибку Out-of-Memory, когда серверу буквально не хватает места для обработки запроса). В этот момент PHP «путается» и принимает неготовые данные за готовые.

• Подмена памяти. Злоумышленник засыпает сервер специально сформированными запросами. Когда память заканчивается и освобождается, на освободившееся место попадают данные атакующего. PHP обращается к ним, думая, что это его собственные структуры.
• Выполнение кода. Подставив нужный адрес функции (например, системной команды), атакующий заставляет PHP выполнить её с правами веб-сервера, то есть без логина и пароля.
• Обход защиты ASLR. ASLR (рандомизация адресов памяти, защитный механизм, который перемешивает расположение программ в памяти, чтобы усложнить атаку) мешает узнать точный адрес нужной функции, поэтому злоумышленнику сначала нужно «вытащить» кусок памяти сервера наружу.

Известны три способа эксплуатации: через формы с глубокой вложенностью параметров, через механизм отслеживания загрузки файлов (параметр PHP_SESSION_UPLOAD_PROGRESS) и через отчёт о сбое в PHP 8.5. Полностью рабочий эксплойт (готовая программа для атаки) пока подтверждён только для второго способа.

Масштаб атак уже измеряется миллионами

Специалисты Amazon обнаружили попытки атак ещё 17 октября, за четыре дня до официального раскрытия. После публикации информации число атак в сети Cloudflare выросло до миллионов, по словам главы компании. Новые способы эксплуатации и готовые PoC (Proof of Concept, демонстрационный код атаки) появляются каждый день.

Характерный сетевой след атаки: параметр PHP_SESSION_UPLOAD_PROGRESS в теле запроса и необычно длинное значение PHPSESSID в ответе сервера с URL-кодированными байтами памяти. Единого обязательного маркера для всех вариантов эксплуатации пока нет, что усложняет автоматическое обнаружение.

Как защититься прямо сейчас?

1. Обновить PHP до версий 8.2.35, 8.3.36, 8.4.27, 8.5.12 или более новой исправленной версии вашей ветки. Только обновление полностью закрывает обе уязвимости.
2. До обновления выставить в php.ini или конфигурации сервера: session.upload_progress.enabled=0 (перекрывает известную рабочую цепочку атаки) и fatal_error_backtraces=0 (для PHP 8.5).
3. Ограничить размер и сложность запросов на уровне веб-сервера или обратного прокси (reverse proxy, промежуточный сервер, который принимает запросы до вашего основного сервера).
4. Проверить логи на наличие параметра PHP_SESSION_UPLOAD_PROGRESS в теле входящих запросов и аномально длинных значений PHPSESSID в ответах.

Настройки безопасности должны вступать в силу до того, как PHP начнёт разбирать запрос, поэтому задавайте их именно в php.ini, а не в коде приложения.

ИИ нашёл то, что люди пропускали с 2012 года

Уязвимый код присутствует в PHP начиная с версии 5.4, которая вышла более десяти лет назад. Обнаружение с помощью нейросетей Gemini 4 Argon и GPT-5.6 Sol, а не человеческого аудита, подчёркивает растущую роль ИИ в кибербезопасности. Размер патча в 10 тысяч строк показывает, насколько глубоко проблема была встроена в архитектуру языка.

В России PHP остаётся основой большинства сайтов на «1С-Битрикс», WordPress и самописных CMS. Хостинг-провайдеры обновляют серверное ПО с разной скоростью: если вы на виртуальном хостинге, уточните у провайдера, обновлён ли PHP. На VPS и выделенных серверах обновление целиком на вас.

Что делать прямо сейчас, по ролям?

• Автору на Дзене или владельцу блога на WordPress. Проверьте версию PHP в панели хостинга. Если ниже указанных исправленных версий, напишите в поддержку хостинга с просьбой обновить. Если хостер не реагирует, это повод задуматься о смене провайдера.

• Маркетологу или предпринимателю с сайтом на «Битрикс» или самописной CMS. Передайте эту новость вашему разработчику или подрядчику сегодня. Попросите подтверждение, что PHP обновлён или временные меры применены. Промедление в дни, когда атаки исчисляются миллионами, стоит дорого.

• Тем, кто интересуется кибербезопасностью и ИИ. Этот случай показывает, что курсы кибербезопасности и навыки работы с ИИ-инструментами для аудита кода из экзотики становятся практической необходимостью. Нейросети нашли то, что годами пропускали живые специалисты.

Частые вопросы

Мой сайт на WordPress, я в опасности?

Да, если ваш хостинг работает на PHP версии ниже 8.2.35, 8.3.36, 8.4.27 или 8.5.12. Проверить версию PHP можно в панели управления хостингом (cPanel, ISPmanager) или через плагин. Сам WordPress не защитит от серверной уязвимости, потому что проблема в интерпретаторе PHP, а не в коде движка.

Нужны ли специальные знания, чтобы защититься?

Для обновления PHP на виртуальном хостинге обычно достаточно написать в поддержку провайдера. На VPS потребуется выполнить команду обновления или попросить администратора. Временные меры (отключение параметров в php.ini) тоже по силам человеку без глубоких технических знаний, если следовать инструкции из шага 2 выше.

Причём тут ИИ и кибербезопасность?

Обе уязвимости были обнаружены нейросетями Gemini 4 Argon и GPT-5.6 Sol, а не традиционным ручным аудитом. Это демонстрирует, что ИИ уже способен находить сложные ошибки в коде, которые скрывались более десяти лет. Кибербезопасность всё больше становится областью, где без понимания ИИ-инструментов обходиться сложно, и это ещё один аргумент в пользу профильных курсов кибербезопасности для тех, кто отвечает за сайты и сервисы.