Штучний інтелект допоміг виявити критичну вразливість PHP — технології, яку використовують до 70% вебсайтів у світі. Помилка під назвою PHP2Shell потенційно дозволяє хакерам запускати сторонній код на серверах, викрадати інформацію та атакувати відвідувачів, тому розробникам довелося терміново випускати оновлення безпеки.
Уразливість PHP2Shell пов’язана з особливостями керування пам’яттю в PHP — одній із найпоширеніших технологій для створення вебсайтів. За певних умов помилка дозволяє зловмиснику виконати несанкціонований програмний код на сервері, де не встановлено виправлення.
Потенційні наслідки включають отримання доступу до конфіденційних даних, встановлення шкідливого програмного забезпечення та використання скомпрометованого сервера для подальших атак. Водночас поширеність PHP не означає, що всі сайти, створені з використанням цієї технології, автоматично вразливі.
Інженер із безпеки Фолькер Даш, який працює з некомерційною організацією, що опікується PHP, назвав знахідку найсерйознішою проблемою безпеки цієї технології за понад десять років. За масштабами потенційної загрози він порівняв її з Heartbleed — небезпечною помилкою, яка раніше змусила терміново захищати сотні тисяч серверів.
Виявити PHP2Shell вдалося досліднику Райану Остіну з компанії Calif ще в серпні. Під час перевірки вихідного коду PHP він використовував модель GPT-5.6 Sol від OpenAI, яка допомогла знайти спосіб практичного використання давно відомої проблемної ділянки коду.
За словами керівника Calif Тая Дуонга, приблизно десять років тому фахівці вже звертали увагу на відповідну частину програмного забезпечення. Проте тоді вважалося, що використати помилку для реальної атаки надто складно.
Завдяки штучному інтелекту Остін зміг розробити спосіб експлуатації вразливості за допомогою кількох десятків запитів до сервера. У невеликих системах така атака потенційно може тривати лише кілька секунд, тоді як складніші конфігурації можуть потребувати кількох годин.
Дослідження Calif проводилося за фінансової підтримки OpenAI. Компанія фінансувала перевірки відкритого програмного забезпечення, щоб допомогти розробникам знаходити та виправляти небезпечні помилки за допомогою ШІ.
11 серпня Дуонг повідомив Фолькеру Дашу про виявлення серйозної проблеми. Після цього фахівці почали організовувати роботу над виправленням, намагаючись не допустити передчасного розголошення технічних подробиць.
До неформальної робочої групи приєдналися розробники PHP, дослідники безпеки, постачальники програмного забезпечення та представники кібербезпекових компаній. Їхнім завданням було підготувати оновлення до того, як зловмисники почнуть масово використовувати вразливість.
Паралельно дослідники компанії Wiz, яка співпрацює з Google, незалежно знайшли додаткові способи експлуатації PHP2Shell. Свої результати також представила дослідницька команда OpenAI.
Співзасновник Wiz Амі Луттвак назвав PHP2Shell найсерйознішою вразливістю, виявленою за допомогою штучного інтелекту, серед відомих йому випадків. На його думку, без використання ШІ дослідники могли б так і не знайти практичного способу експлуатації настільки складної помилки.
Робота над виправленням виявилася масштабною. Розробникам довелося змінити майже 200 файлів і написати понад 10 тисяч рядків програмного коду.
Спочатку оновлення планували опублікувати 22 жовтня. Проте менш ніж за два дні до запланованого випуску інформація про проблему з’явилася на Hacker News, що змусило команду прискорити роботу.
Після витоку розробники вирішили випустити критичне оновлення 21 жовтня. За словами Дуонга, це мало забезпечити необхідний баланс між часом для підготовки захисту та ризиком появи інструментів для атак.
У середу, 21 жовтня, вже почали надходити повідомлення про спроби використання вразливості. Частина державних і комерційних ресурсів тимчасово припинила роботу як запобіжний захід, а адміністратори серверів розпочали встановлення виправлень.
Особливе занепокоєння фахівців викликає можливість швидкого створення шкідливих інструментів за допомогою штучного інтелекту. Після випуску оновлень хакери можуть аналізувати зміни у відкритому коді, щоб визначити, які саме помилки були виправлені.
Такий підхід створює додатковий ризик для серверів, адміністратори яких не встигають оперативно встановити оновлення. За оцінками дослідників, сучасні ШІ-моделі можуть значно прискорювати як пошук уразливостей, так і підготовку інструментів для їх використання.
Водночас штучний інтелект дедалі активніше допомагає фахівцям із кібербезпеки знаходити тисячі раніше непомічених програмних помилок. Це збільшує навантаження на команди розробників відкритого програмного забезпечення, яким доводиться швидко перевіряти знахідки та готувати виправлення.
Ризики автономних ШІ-систем раніше проявлялися і в дослідженнях самої OpenAI. Компанія визнавала випадки, коли під час тестування її агенти обходили захисні обмеження платформи Hugging Face, збирали системні дані без дозволу та виходили за межі ізольованого середовища.
🌟 Читайте «Експерт» у своєму смартфоні — додайте нас в Google Discover