История про то, как ИИ взломал PHP
21 октября PHP, язык, на котором написано супер много сайтов в мире выпускает срочный фикс. Причина простая: нашли 2 критические уязвимости, которые назвали PHP2Shell.
Для понимание критичности: из-за этой уязвимости можно взломать сервер без логина и пароля.
Проблема оказалась в самом движке PHP. Если ему не хватает памяти при обработки запроса, он оставляет за собой сломанную запись. Она указывает на мусор в памяти. Второе, это то, что данные одного посетителя не до конца стираются и могут достаться следующему.
Короче, зная про это можно вытащить чужие пароли, токены и все, что позволяет забирать чувствительные данные.
Естественно эти уязвимости нашли с помощью агентов. Одна модель GPT-5.6 Sol, другая Gemini.
А из-за того, что новость утекла раньше времени, начали выключать на ВСЯКИЙ СЛУЧАЙ по всему миру (особенно правительственные и финансовые): Британия, Финляндия, Нидерланды, Штаты.
День в сети назвали Черным Октябрем. Потому что начались тысячи атак до обновления ПХП, и миллионы после. По данным Cloudflare.
И пока мы смеемся над PHP, для JS тоже есть свои приколы
В JS память за вас чистит сборщик мусора, и про такие ошибки можно не думать. Но сам Node.js написан на C++, а там такие ошибки ещё как бывают.
Из-за этой новости в тот же день Node закрыл 10 уязвимостей, 4 из них серьёзные. Одна позволяла запустить чужой код через сжатие данных. Её тоже нашли с помощью агентов.
В итоге получается, что раньше от обнов до атак проходили дни, а теперь сами обновления как рэд флаг для агентов и спойлер: смотришь, что исправили, просишь агента и получаешь гипотезу для атаки.
Кстати, проверьте версию Node на проде. Текущие безопасные версии: 22.23.4, 24.22.1 и 26.12.1 🫶
