Уязвимости в PHP: AI превърна стара грешка в атака

23.10

време за четене: 4 мин.

На 21 октомври PHP пусна кръпка за две критични уязвимости, които позволяват изпълнение на код на сървъра без вход в системата. Грешката в ядрото на езика е стара, а първите ѝ следи са открити още през 2024 г. Новото е, че AI направи атаката практична, а сроковете за поправка вече се мерят в часове.

В тъмна котелна нощем жена техник затяга скоба върху стара спукана тръба, а по-нататък по същата тръба робот с червени очи и тъмен шлифер пробива нова дупка с бормашина, докато мъж колега стреснато го осветява с фенерче.

Какво се случи с PHP

PHP е езикът, на който работят WordPress, Drupal, Joomla и MediaWiki. Новите версии 8.5.12, 8.4.27, 8.3.36 и 8.2.35 поправят две уязвимости, регистрирани като CVE-2026-109618 и CVE-2026-109619, с оценка за тежест 9,2 от 10. И двете стоят в управлението на паметта и в обработката на фатални грешки, тоест в части, през които минава почти всяка заявка.

Историята е по-дълга от новината. Според PHP Foundation първите признаци на проблема се появяват при външен одит през 2024 г., но тогава не е намерен конкретен път към атака и поправката е отлагана с месеци. Фондацията сама нарича забавянето структурен провал. На 11 август изследовател от Calif и OpenAI съобщават независимо един от друг за същата първопричина, на 24 август Wiz докладва свой вариант, а на 18 септември OpenAI добавя още пътища за атака.

Разкриването не мина по план. На 20 октомври номерата на уязвимостите изтекоха в мрежата с грешен час и грешна оценка, затова пускането беше изтеглено с ден напред. Кръпката излезе на 21 октомври в 14:00 UTC, а един разпространител беше публикувал готовите пакети над шест часа по-рано.

Защо уязвимости в PHP засягат почти всеки сайт

Проблемът не е в кода на конкретния сайт, а в самия език. Wiz, една от фирмите, участвали в откриването, твърди, че PHP задвижва 70% от сайтовете в света и че засегнати са версии чак до PHP 5.4. Компанията показва изпълнение на код без вход в последните версии на WordPress, Drupal и Joomla, но подчертава, че дори просто приложение на уязвима версия може да е в риск.

Тези уязвимости в PHP засягат според обявлението всички инсталации, които обслужват уеб заявки, а рискът е най-висок при Apache с mod_php. Версии 8.1 и по-стари вече не получават редовни обновления, а за 7.4, 8.0 и 8.1 екипът е дал само минимални поправки в изходния код. Временните настройки намаляват отделни пътища за атака, но обновяването остава единственото пълно решение.

Нашият анализ: рискът започва преди разкриването

Wiz пише, че е работила с Gemini 4 Argon и GPT-5.6 Sol и че моделите са направили практично онова, което досега е стояло на ръба на човешките възможности: свързването на няколко грешки и нагаждането на атаката към паметта на всеки конкретен сървър. Че AI поевтинява точно тази трудна стъпка, описахме в по-ранна наша новина за малък файлов сървър. Тук същото се случва в ядрото на езика, на който стои голяма част от мрежата.

Новото идва от данните на AWS. В мрежата от капани за нападатели на компанията е засечен опит за използване на уязвимостите на 17 октомври, четири дни преди публичното разкриване, от адрес в анонимизираща мрежа. Как нападателят е разбрал за уязвимостта, остава неясно. Първите работещи образци се появяват около 02:00 UTC на 21 октомври, часове преди кръпката, а според AWS уязвимостта вече се използва масово.

Изводът на AWS е изречен направо: AI прави по-евтино превръщането на кръпка или бюлетин в работеща атака и затова повече нападатели могат да действат часове след разкриването. Срок за поправка от 7 или 30 дни предполага забавяне, което вече не съществува. А датата на разкриването не е непременно датата, от която започва рискът.

Какво може да се направи

За собственик на сайт на WordPress или друга система на PHP първият въпрос е къде работи сайтът. При споделен хостинг обновяването е работа на доставчика и си струва да се поиска писмено потвърждение коя версия на PHP върви. При собствен сървър обновете до поправена версия веднага, не в следващия планиран прозорец.

AWS препоръчва проверката да започне от 17 октомври, а не от датата на разкриването. Обновяването спира нова атака, но не показва дали стара вече се е случила. Затова си струва да се прегледат журналите на уеб сървъра за подозрителни заявки и сървърите за неочаквани процеси или променени файлове.

Заключение

Грешката в PHP е на години, но цената на атаката падна точно сега. За всеки бизнес със сайт уроците са два: версията на PHP е въпрос към хостинга, а времето за реакция при критична уязвимост вече се брои в часове.

Искате да започнете с AI от нулата? Безплатният курс „Основи на AI“ е 17 видео урока, около 35 минути, със сертификат: Започнете безплатния курс по AI

Помагаме на български фирми да преценят как AI променя рисковете за техните сайтове и системи - от сроковете за поправка до отговорността на доставчиците. Услугите ни покриват одит, оценка на готовност, обучение на екипи и имплементация на специализирани AI автоматизации за всяка организация. Препоръчваме консултация, когато сайтът или вътрешните системи работят на PHP и не е ясно кой отговаря за обновяването им. [Свържете се с нас за консултация: academy@razvivai.se]