AI откри критична уязвимост, излагаща на риск до 70% от сайтовете в света

22/10/2026, 07:24

Пекселс

Първо изкуственият интелект възвести „Бъгмагедон“. Сега той предизвиква извънредна киберситуация, в която всички налични специалисти са мобилизирани.

Създателите на PHP - технология, която захранва до 70% от уебсайтовете в света - разкриха критичен проблем със сигурността, който може да бъде използван от хакери, за да поемат контрол над всяка система, работеща със софтуера. Това би позволило на нападател да краде информация или да извърши кибератака срещу всеки, който посещава компрометиран сайт, пише в. „Уолстрийт Джърнъл“, цитиран от БГНЕС.

Изследователи по киберсигурност са открили уязвимостта с помощта на изкуствен интелект. Сега администраторите на сайтове бързат да се защитят, тъй като най-новите AI системи биха могли много бързо да разработят начин за нейното използване. Някои казват, че превантивно изключват сайтовете си.

Проблемът, наречен PHP2Shell, представлява клас уязвимости, свързани с начина, по който PHP управлява компютърната памет. Той може да бъде използван по различни начини, като при някои от тях са необходими само няколко секунди, за да може хакер да стартира неоторизиран софтуер върху непоправен уеб сървър.

Според Волкер Душ, инженер по сигурността във фондацията с нестопанска цел, която управлява проекта PHP, това е най-сериозният проблем със сигурността, пред който технологията се е изправяла от повече от десетилетие. Той го сравни с Heartbleed - също широко разпространена уязвимост, която преди повече от десет години предизвика глобална надпревара за защитата на стотици хиляди сървъри.

Когато бъдат публикувани корекции за сигурност, започва надпревара между защитниците и хакерите. Защитниците трябва да тестват и инсталират пачовете, докато нападателите ги анализират като своеобразно ръководство към уязвимостите - проверяват какво е променено и разработват начини за атака срещу тези участъци.

Днешните инструменти с изкуствен интелект обаче могат да извършват тази работа много по-бързо от човек, което според експертите по сигурност прави процеса още по-рисков.

„Някой тип в Twitter може да вземе пачовете, да пусне AI върху тях и да публикува готов скрипт за експлоатация“, заяви Тай Дуонг, главен изпълнителен директор на компанията за сигурност Calif, която първа е открила проблема. „Тогава ще настъпи пълен хаос.“

Голямата уязвимост

Изследователят от Calif Райън Остин открил проблемите през август с помощта на GPT-5.6 Sol, един от най-напредналите модели на OpenAI, при одит на изходния код на PHP.

OpenAI е финансирала този и други подобни одити като част от усилията на AI компаниите да помагат на проекти с отворен код да отстраняват софтуерни уязвимости, които все по-често се откриват от системи с изкуствен интелект.

Този клас бъгове е оставал скрит в изходния код на PHP в продължение на години. Изследовател по сигурността е посочил проблемната област още преди десетилетия, но тогава уязвимостта е била смятана за прекалено трудна за използване и до голяма степен е била забравена, разказва Дуонг.

Изкуственият интелект намерил начин.

Остин установил как да контролира кода, изпълняван в компютърната памет, само с няколко десетки заявки към сървър, работещ с PHP. При по-малки системи атаката отнема едва секунди. При по-сложни може да са необходими часове.

На 11 август Дуонг се обадил на Волкер Душ.

„Тук има сериозен проблем“, казал той.

„Имах момент, в който си казах: „О, Боже, какво ще правим сега?“, разказва Душ. „Как да съобщя това?“

„А после се успокояваш, оставяш адреналина да премине и започваш да оправяш проблема“, добавя той.

Скоро била сформирана неформална работна група от изследователи по сигурността и софтуерни инженери. Те започнали да работят съвместно с дистрибутори на софтуер и компании за киберсигурност, за да намерят начини за отстраняване на PHP2Shell и за предотвратяване на експлоатирането му.

Изследователи от екипа по киберсигурност Wiz на Google скоро се свързали с тях с нови начини за използване на уязвимостта, които били открили независимо от Calif. Допълнителни резултати дошли и от изследователския екип на OpenAI.

Изкуственият интелект позволява на добросъвестни изследователи по сигурността да откриват хиляди софтуерни бъгове, което залива проекти като PHP с огромен брой проблеми, нуждаещи се от поправка.

PHP2Shell обаче е бил определен като приоритет, а способността на AI да намира начини за пробив е породила опасения, че престъпници могат да използват уязвимостта срещу голям брой сайтове, преди те да бъдат защитени.

Опазването на тайната

PHP2Shell е „най-сериозната AI уязвимост, откривана някога“, и вероятно е била прекалено сложна, за да бъде установена без помощта на изкуствен интелект, заяви съоснователят на Wiz Ами Лутвак.

Дуонг и останалите изследователи пазели съществуването ѝ в строга тайна, докато работели по корекциите, опасявайки се, че хакер, подпомаган от AI, може да я открие и използва преди приключването на работата.

Мащабът на отстраняването на проблема бил огромен. Поправки се правят в близо 200 файла, а разработчиците са написали над 10 000 реда код в хода на процеса.

В крайна сметка била определена дата за публикуването на пача - 22 октомври.

Тогава се случило неизбежното. Информацията за корекцията изтекла във вторник в публикация в Hacker News, по-малко от два дни преди планираното ѝ публикуване.

Екипът на Душ решил да пусне пача по-рано. Във вторник разработчиците предупредили потребителите по света да бъдат готови за критична актуализация по сигурността в сряда.

Това било „добър баланс между това да информираме защитниците и да не даваме прекалено много време на нападателите да разработят начини за експлоатация“, заяви Душ.