Даже безопасный код сайта не спасает от ошибки в PHP
В PHP нашли две критические уязвимости, которые могут позволить постороннему выполнить код на сервере без авторизации. Проблема находится в самом движке, исполняющем код сайта.
Для Apache с mod_php описан сценарий, при котором атака срабатывает ещё до запуска приложения. Получается, до ваших проверок входных данных дело может вообще не дойти.
По данным OpenAI, исследователи Calif обнаружили одну из уязвимостей с помощью GPT‑5.6 Sol. Wiz независимо выявила обе. Команда PHP подготовила исправления при участии партнёров и выпустила обновления 21 октября.
Вот здесь успешные тесты приложения могут дать ложное спокойствие. Сайт открывается, формы работают, оплата проходит. Но всё это ещё не подтверждает, что ошибка в среде исполнения закрыта.
Поэтому результат этой истории я бы оценивал по тому, сколько серверов действительно получили исправление. Между находкой исследователя и защищённым сайтом остаётся установка обновления. ИИ эту работу автоматически за владельца не выполняет.
Если PHP обслуживает хостинг, ему стоит задать конкретный вопрос: установлено ли исправление этих двух уязвимостей и работают ли процессы PHP уже с ним? Для пакетов из Linux-дистрибутивов нужно учитывать обновления поставщика: исправление может быть перенесено в его версию пакета.
Выпущенный патч и установленный патч всё ещё два разных состояния сервера.
