Національне агентство безпеки США зазвичай не б’є на сполох без причини. Але цього разу їхнє попередження було настільки серйозним, що експерти радили вимикати сайти з мережі, якщо ті не можуть бути оновлені негайно. Причина – дві критичні вразливості, що спали в коді PHP десятиліттями, як дрімаючий дракон, готовий спалити більшу частину інтернету. І розбудив його не хакер, а штучний інтелект. Повідомляє T4 з посиланням на techcrunch.com. Подумайте про це: ми говоримо про мову програмування, на якій працює приблизно 70.6% усіх веб-сайтів у світі, за даними липня 2026 року. Це і гігантські корпоративні портали, і маленькі блоги на WordPress, і популярні інтернет-магазини. Тобто, потенційно, десятки мільйонів ресурсів були під загрозою повного контролю зловмисниками. Ситуація настільки напружена, що деякі вже назвали її “PHP-армагеддоном”. Загроза, що спала десятиліттями: що виявили в PHP? Для тих, хто не в курсі, PHP – це така “невидима” мова, що працює на сервері. Коли ви заходите на сайт, PHP обробляє запити, взаємодіє з базами даних і генерує сторінку, яку ви бачите в браузері. Це як серцевина двигуна для величезної кількості веб-ресурсів, включаючи такі популярні системи керування контентом, як WordPress. І ось саме в цьому серці виявили дві “дірки” з ідентифікаторами CVE-2026-109618 та CVE-2026-109619. Їхня базова оцінка серйозності за шкалою CVSS – 9.2, а це, на хвилиночку, критичний рівень небезпеки. На практиці ці вразливості дозволяють неаутентифіковане віддалене виконання коду (RCE) та розкриття пам’яті. Якщо пояснити “людською” мовою, то RCE означає, що хакер може, не маючи жодних дозволів чи паролів, віддалено запускати на вашому сервері будь-який свій код. Це як якщо б ви залишили двері свого будинку відчиненими, а зловмисник міг би зайти, взяти ключі від машини, усі ваші документи і навіть встановити свої замки. А розкриття пам’яті – це доступ до конфіденційних даних, які можуть там зберігатися: паролі, особиста інформація користувачів, ключі доступу. Одна з цих вразливостей, CVE-2026-109618, виявилася пов’язаною з тим, як PHP обробляє ситуації нестачі пам’яті. Коли пам’яті бракує, PHP може залишити деякі дані частково ініціалізованими, а потім обробити їх як повністю готові, що призводить до пошкодження пам’яті. Уявіть, що ви готуєте складний звіт, але в якийсь момент комп’ютер завис, і ви зберегли його з обірваними реченнями – ось щось подібне відбувається з даними. Друга ж, CVE-2026-109619, виникає, коли внутрішній стан запиту (тобто певна інформація про те, що відбувається з конкретним запитом до сервера) зберігається після того, як пам’ять для нього вже звільнена. Це дозволяє наступному запиту використовувати застарілу, неактуальну інформацію, що теж може призвести до збоїв або маніпуляцій. І ось що шокує: ці “дірки” були присутні у всіх версіях PHP, починаючи з 5.4 і аж до 8.5.11, тобто з 2004 року! Двадцять років ніхто їх не бачив. Як ШІ розкрив “дірки”, які не бачили роками? Звісно, постає питання: як такі масштабні та давні проблеми могли так довго залишатися непоміченими? Відповідь одна – штучний інтелект. Компанія Calif, беручи участь в ініціативі OpenAI “Patch the Planet”, використовувала модель GPT-5.6 Sol і знайшла одну з цих вразливостей. Одночасно команда Wiz, застосовуючи суміш своїх моделей, включно з Gemini 4 Argon, GPT-5.6 Sol та власним інструментом Wiz Atlas, виявила обидві проблеми. Експерти Wiz відверто заявили: для розробки експлойтів (тобто програм, які використовують вразливість) для таких складних “дірок”, що існували десятиліттями, без ШІ знадобилися б місяці роботи висококваліфікованої команди. А з допомогою передових моделей ШІ це зайняло… близько тижня. Це яскраво ілюструє, наскільки ШІ прискорює процес пошуку вразливостей. Парадокс ситуації в тому, що саме завдяки ШІ ці вразливості були знайдені і виправлені до того, як їх почали масово використовувати хакери. Але водночас, саме розвиток ШІ зробив експлуатацію таких складних “дірок” доступнішою і для зловмисників. Раніше хакерам було надто складно адаптувати експлойт під різні версії PHP, конфігурації серверів та структуру пам’яті. Тепер, як попереджають Wiz, великі мовні моделі можуть це робити. Що робити власникам сайтів: інструкція з порятунку Тепер, коли інформація про вразливості стала публічною, гонка розпочалася. Хакери вже знають про ці “дірки” і активно шукатимуть незахищені сайти. Тому час на реагування надзвичайно обмежений. Найперше і найголовніше – терміново оновити PHP. Патчі вже випущені для версій PHP 8.5.12, 8.4.27, 8.3.36 та 8.2.35. Якщо ваш сайт працює на одній з цих гілок, зв’яжіться зі своїм хостинг-провайдером або системним адміністратором, щоб якнайшвидше оновитися до найновішої пропатченої версії. Це життєво необхідно. Але тут є нюанс: PHP 8.1 та старіші версії офіційно не підтримуються PHP-проектом. Це означає, що вони не отримають офіційних виправлень. Якщо ваш сайт працює на старій версії PHP, у вас є два варіанти: або негайно оновитися до підтримуваної гілки (що може вимагати перевірки сумісності вашого коду), або сподіватися, що ваш дистрибутив операційної системи (наприклад, Ubuntu чи Debian) надасть “зворотні порти” – тобто випустить патчі для старих версій. Однак це не гарантовано. Якщо ви не можете оновити PHP негайно, Національне агентство безпеки США дає чітку пораду: краще тимчасово вимкнути сайт з мережі, доки ви не зможете його пропатчити. Це звучить радикально, але краще так, ніж втратити всі дані або отримати повний контроль над сервером з боку зловмисників. На щастя, великі гравці вже відреагували. Наприклад, Cloudflare розгорнула захист Web Application Firewall (WAF) для своїх клієнтів за 9 годин до публічного розкриття інформації про вразливості. Вони використали нову можливість “full transaction detection”, яка аналізує не тільки запит, а й відповідь, щоб виявити підозрілу активність. Якщо ви користуєтеся таким сервісом, це дає вам додатковий рівень захисту. Для власників сайтів на WordPress: пам’ятайте, що це не вразливість самого WordPress, а PHP, на якому він працює. Тому оновлювати потрібно серверне програмне забезпечення, а не тільки CMS. FAQ: Відповіді на найпопулярніші питання Що таке RCE і чому це страшно? RCE розшифровується як “Remote Code Execution” – віддалене виконання коду. Це одна з найнебезпечніших вразливостей, адже вона дозволяє зловмиснику запускати свої власні команди та програми на вашому сервері, не маючи доступу до нього. Уявіть, що хтось може керувати вашим комп’ютером, просто надсилаючи йому команди через інтернет, без пароля. Це може призвести до крадіжки даних, повного контролю над сервером, розміщення шкідливого контенту або використання вашого сервера для атак на інші ресурси. Як дізнатися, яка версія PHP на моєму сайті? Зазвичай, ви можете дізнатися версію PHP через панель керування вашим хостингом (cPanel, Plesk тощо) або звернувшись до свого хостинг-провайдера. Також, якщо у вас є доступ до файлів сайту, можна створити невеликий файл `info.php` з таким вмістом: `` і завантажити його на сервер. Після цього відкрийте його у браузері за адресою `ваш_сайт.com/info.php`. Ви побачите детальну інформацію про конфігурацію PHP, включно з версією. Не забудьте видалити цей файл після перевірки з міркувань безпеки! Мій сайт на WordPress, чи це означає, що він у безпеці? Ні, на жаль. WordPress сам по собі не є вразливим у цьому випадку, але він працює на PHP. Якщо ваш сервер використовує вразливу версію PHP, то ваш сайт на WordPress так само під загрозою. Вам потрібно оновлювати саме версію PHP на сервері, а не лише сам WordPress чи його плагіни. Зверніться до свого хостинг-провайдера, щоб він оновив PHP на вашому сервері. Чи можу я сам виправити цю вразливість? Якщо ви не є досвідченим системним адміністратором або розробником, краще не намагатися це робити самостійно. Неправильне оновлення PHP може призвести до непрацездатності сайту. Найкращий варіант – зв’язатися з вашим хостинг-провайдером або професійним адміністратором сервера. Вони мають досвід і необхідні інструменти для безпечного та коректного оновлення. Ця історія – яскравий приклад того, як технології розвиваються двосічним мечем. Штучний інтелект стає потужним інструментом як для захисників, так і для зловмисників. І хоча цього разу ШІ допоміг запобігти катастрофі, це також попередження: кібербезпека ніколи не стоїть на місці, і постійна пильність та оновлення є єдиним способом вижити в цій нескінченній гонці озброєнь. Ваш сайт вже оновлено?The post ШІ виявив вразливості в PHP, що могли обвалити 70% інтернету first appeared on T4 - сучасні технології та наука.