Критическая уязвимость PHP2Shell затронула широко используемую платформу

В PHP обнаружили критическую уязвимость PHP2Shell, связанную с управлением памятью. По словам ведущих, PHP используется примерно на 70% сайтов. Уязвимость нашли в августе при аудите исходного кода; исследователю Райану Остину помогла модель GPT-5.6 Sol от OpenAI. Ошибка годами оставалась в коде, хотя на проблемную область указывали еще десятилетия назад. На небольших системах эксплуатация может занять секунды и потребовать всего нескольких десятков запросов, на более сложных — часы.

Ведущие назвали проблему самой серьезной уязвимостью PHP более чем за десять лет и сравнили масштаб последствий с Heartbleed. Исследователи, инженеры, дистрибьюторы ПО и компании, включая Google Wiz и OpenAI, совместно готовили исправления и держали сведения в секрете, чтобы не дать злоумышленникам опередить защитников. По словам ведущих, исправления затронули около 200 файлов и потребовали более 10 000 строк кода. Выпуск патча ожидался 22 октября; после утечки информации во вторник его решили выпустить раньше. Ведущие сообщили, что основной патч уже появился, но в начале обсуждения не были уверены, что он вышел.

Ведущие опасаются, что после публикации патча злоумышленники смогут изучить изменения и быстрее находить уязвимые серверы, а небольшие организации и владельцы старых сайтов могут не установить обновление вовремя. Они отмечали, что государственные сайты в Финляндии, Нидерландах и Франции временно отключали, а премьер-министр Японии призвал проверить PHP-сайты и подготовиться к установке исправления. OpenAI также выпустила навык Codex, который помогает проверить сайт на уязвимость. Ведущие выразили обеспокоенность возможной утечкой пользовательских данных, но не утверждали, что массовая эксплуатация уже произошла.