Критическую уязвимость PHP, угрожающую миллионам сайтов, нашли GPT-5.6 Sol и Gemini 4 Argon — это наглядный пример того, как безопасность ИИ работает на опережение. Модели заметили дыру раньше атакующих, так что у разработчиков и поставщиков защиты было время на реакцию. Исправление координировали два месяца в пять фаз, а на GitHub уже есть инструмент: проверь, затронута ли твоя версия PHP.
Что вообще случилось
PHP — это язык, на котором работает немалая часть сайтов в интернете. Если совсем по-простому: у сайта есть «движок», и PHP — один из самых распространённых. Уязвимость — это дыра в таком движке, через которую посторонний может получить доступ к сайту или данным. Именно такую дыру и нашли две модели: GPT-5.6 Sol от OpenAI и Gemini 4 Argon от Google.
GPT-5.6 Sol сделала это в рамках инициативы Patch-the-Planet. OpenAI называет эту историю одной из самых значимых проблем безопасности за последнее время. Важный момент: модели обнаружили уязвимости раньше, чем это сделали атакующие. То есть у разработчиков PHP и поставщиков защитных решений было время подготовиться, а не тушить пожар по факту взлома.
Компания Wiz независимо нашла те же уязвимости — со своей платформой Wiz Atlas, Gemini 4 Argon и GPT-5.6 Sol. По данным Wiz, Gemini 4 Argon особенно пригодилась для поиска уязвимости, разработки эксплойтов, создания систем обнаружения атак и проверки исправления. Эксплойт — это приём или программа, которая использует дыру. Раньше такой эксплойт, сработавший на одной конкретной установке PHP, требовал больших усилий, чтобы адаптировать его к другим версиям и настройкам. Большие языковые модели этот порог снимают: они умеют автоматически подстраивать эксплойты под разные версии PHP, конфигурации и устройство памяти.
Исправление шло два месяца в пять фаз. В координации участвовали разработчики PHP, Wiz, Cloudflare и американские ведомства, включая CISA и Белый дом. OpenAI предлагает этот процесс как повторяемую схему для будущих находок в безопасности, сделанных с помощью ИИ. И предупреждает: находок масштаба PHP2Shell в ближайшие месяцы станет резко больше.
Почему это касается даже тебя
Может показаться: «PHP, серверы, эксплойты — это для айтишников». На самом деле это история про твой сайт, твой бизнес и твои данные. Для тебя это не абстрактная ИИ-безопасность, а конкретный повод проверить, на чём стоит твой сайт и обновлён ли «движок». ИИ в системах безопасности перестаёт быть экзотикой: модели уже находят уязвимости раньше атакующих.
Есть и вторая сторона. Те же возможности ИИ, которые находят уязвимости, могут помогать и атакующим. Wiz прямо пишет: ИИ сильно снижает порог для того, чтобы масштабировать атаки на разные сайты и конфигурации. То, что раньше казалось непрактичным для эксплуатации, становится реальной целью. Поэтому правила безопасности с ИИ простые: не игнорировать обновления, делать резервные копии и проверять свой сайт до того, как это сделает кто-то другой.
Кому это даёт фору
Вот несколько живых ситуаций, где эта новость превращается в конкретное действие.
• Владелец кофейни с сайтом-визиткой. На сайте меню, адрес и форма заказа. Предприниматель не айтишник, но пишет в поддержку хостинга: «Какая у меня версия PHP и обновлена ли она?» Поддержка проверяет — он делает бэкап и спит спокойнее. Это дешевле, чем потом восстанавливать сайт после взлома.
• Фрилансер-дизайнер с портфолио на хостинге. У него нет своего админа, зато есть ChatGPT. Он открывает ChatGPT, описывает панель хостинга и просит показать, где смотреть версию PHP. За десять минут понимает, куда нажать, и обновляет движок.
• Мама в декрете, которая ведёт блог. Блог — её дневник и маленький доход с рекламы. Она боится «сломать сайт» обновлением. Поэтому сначала делает резервную копию, потом просит поддержку хостинга помочь с обновлением. После этого проверяет: открываются ли статьи, работает ли форма подписки.
• Небольшая онлайн-школа. У неё на сайте лежат заявки учеников. Админ проверяет сервер и понимает: если движок старый, данные могут пострадать. Он обновляет PHP и заодно просит ИИ составить чек-лист проверки сайта после обновления.
• Предприниматель с интернет-магазином. Ему важно, чтобы не пропали заказы. Он заказывает проверку у хостера, а у ChatGPT просит простой план: что сделать до обновления, что после, как проверить оплату и корзину.
• Студент или преподаватель с учебным сайтом. Даже маленький сайт с материалами — это данные и репутация. Проверить версию PHP и сделать бэкап — привычка, которая спасает нервы.
Как проверить свой сайт за вечер
Ниже — спокойный маршрут для человека, который не пишет код каждый день.
1. Спроси поддержку хостинга. Напиши в чат или на почту: «Здравствуйте, какая версия PHP на моём хостинге и обновлена ли она до актуальной?» Это бесплатно и не требует технических знаний. Если сайт ведёт админ — задай вопрос ему.
2. Открой ChatGPT и попроси объяснить по шагам. Напиши: «Я не программист. У меня сайт на хостинге. Объясни простыми словами, как узнать версию PHP и что сделать, если она старая. Не советуй сомнительные плагины». Получишь понятный план под свою панель хостинга.
3. Найди инструмент проверки. На GitHub появился инструмент, который позволяет операторам серверов проверить, затронута ли их версия PHP. Если сам ведёшь сервер, попроси ChatGPT объяснить, как таким инструментом пользоваться безопасно. Если не ведёшь — этот шаг сделает поддержка хостинга.
4. Сделай резервную копию. Перед любым обновлением сохрани файлы сайта и базу данных. Это как фотография комнаты до ремонта: если что-то пойдёт не так, будет куда вернуться.
5. Обнови PHP. Попроси хостера помочь или сделай это в панели, если уверен. После обновления проверь самое важное: открывается ли главная, работают ли формы, вход в админку, оплата и корзина, если это магазин.
6. Запиши результат. Короткая заметка «версия PHP, дата обновления, кто помог» пригодится через месяц. Так ты не будешь каждый раз начинать с нуля.
Что тут хорошего и где подвох
Плюсы заметные. ИИ находит дыры быстрее и раньше атакующих — значит, у защиты появляется фора. Маленький бизнес и одиночный фрилансер получают шанс проверять сайт так, как раньше могли только крупные компании с командой безопасников. Появляются инструменты вроде проверки на GitHub, а значит, порог входа падает. Через месяц-полгода такие проверки могут стать привычкой, как обновление приложения на телефоне. ИИ и информационная безопасность перестают быть страшилкой из новостей и становятся рабочим чек-листом.
Минусы тоже честные. ИИ снижает порог для атакующих: эксплойты легче подстраивать под разные версии и настройки PHP, а «непрактичные» цели становятся реальными. Те же возможности, которые находят уязвимости, могут помогать и злоумышленникам. OpenAI ожидает резкого роста числа находок масштаба PHP2Shell в ближайшие месяцы — значит, обновляться придётся чаще, а не один раз. И не все успеют вовремя.
Твой шаг на сегодня
Не откладывай на «когда-нибудь». Сегодня сделай одно действие: напиши в поддержку своего хостинга короткий вопрос — «какая у меня версия PHP и обновлена ли она?». Если сайта нет, открой ChatGPT и попроси объяснить, как устроен PHP и почему обновления важны — это займёт пять минут. Сохрани статью, чтобы вернуться к шагам. А если остались вопросы — задай их в комментариях у @aigoby: разберём вместе.
Бонус: готовый промпт
Скопируй этот промпт в ChatGPT, если хочешь пройти проверку спокойно и без жаргона.
```text
Ты — спокойный консультант по безопасности сайтов. Я не программист.
У меня есть сайт на хостинге, движок на PHP. Помоги мне за 6 шагов:
1) узнать версию PHP у хостинга;
2) понять, затронута ли она уязвимостью PHP2Shell;
3) сделать резервную копию сайта и базы данных;
4) безопасно обновить PHP;
5) проверить сайт после обновления: главную, формы, вход в админку, оплату;
6) записать результат в короткий чек-лист.
Пиши простыми словами, без сложного жаргона. Если нужны команды или действия в панели хостинга — объясни, куда примерно смотреть. Не советуй сомнительные плагины и не обещай, что всё точно пройдёт идеально. Задай мне уточняющие вопросы, если чего-то не хватает.
```
Комментарии 0