Новая норма: ИИ обнаружил опасную уязвимость на 70% сайтов в мире

По оценке Элиота, генеративный ИИ и большие языковые модели, включая OpenAI GPT-5.6 и Google Gemini, ускорили давнее противостояние между защитниками веба и злоумышленниками. Обе стороны могут действовать быстрее, а потенциальный масштаб атак вырос. ИИ уже стал постоянной частью и киберзащиты, и киберпреступности.

Группы кибербезопасности постоянно ищут уязвимости в интернете, и ИИ берёт на себя значительную часть трудоёмкой работы. В этом случае обнаруженные уязвимости позволяли получить несанкционированное удалённое управление сайтом: злоумышленник мог отключить его, похитить данные или обмануть пользователей. Информацию об эксплойте php2shell не раскрывали до подготовки исправления.

Проблема связана с PHP — широко используемым языком сценариев, который сыграл важную роль на раннем этапе развития веба. PHP появился в середине 1990-х годов. Изначально аббревиатура означала Personal Home Page, а позже стала расшифровываться как «PHP: Hypertext Preprocessor». По оценке, приведённой в статье, этот язык до сих пор используют примерно 70% сайтов.

Уязвимостям присвоили оценку 9,2 по шкале критичности от 1 до 10. Их опасность связана и с серьёзностью проблемы, и с широким распространением PHP. Организации, обнаружившие уязвимости, сообщили о них структуре, которая курирует PHP. Подготовка исправления заняла время: поспешный выпуск неработающего патча мог бы усугубить ситуацию. 20 октября официальная структура PHP сообщила, что выпустит патч в течение 24 часов.

По словам Элиота, неизвестно, почему некоторые злоумышленники начали использовать уязвимость за несколько дней до этого. Возможно, их кто-то предупредил; возможно, они нашли проблему самостоятельно. Объявленный 24-часовой срок до выхода патча тоже мог дать атакующим время разобраться в уязвимости и воспользоваться ею до выпуска исправления.

Решение для владельцев сайтов

Если владелец сайта знает о критической уязвимости, а исправление появится только через 24 часа, ему приходится выбирать: оставить сайт работающим или отключить его. Даже после выхода патча на его развёртывание нужны время, специалисты и организационные усилия. Ошибка при установке может нарушить работу сайта или оставить его уязвимым.

Некоторые правительства и частные организации на время отключали отдельные публичные сайты. Однако это может лишить пользователей доступа к критически важным услугам.

Патч уже доступен, но многие владельцы сайтов могут не знать, что его нужно установить: они могли не увидеть новости или решить, что уязвимость их не касается. Некоторые привыкли к многочисленным предупреждениям о киберугрозах и могут ошибочно предпочесть подождать.

Раскрытие уязвимости не означает, что злоумышленники упустили возможность. Установка исправления займёт дни или недели, поэтому многие затронутые сайты могут пока оставаться без защиты. Одни обновят позднее, другие, возможно, не обновят вовсе — из-за неосведомлённости или решения владельцев выждать.

Как ИИ могут использовать атакующие

Злоумышленник может попытаться самостоятельно создать инструмент для эксплуатации известной уязвимости. Современный вариант — поручить часть этой работы ИИ. Его также можно использовать для поиска сайтов без патча: так атакующие не будут тратить силы на уже защищённые ресурсы и с меньшей вероятностью привлекут к себе внимание.

По описанию Элиота, ИИ может помогать выбирать наиболее ценные цели, планировать извлечение максимальной выгоды и скрывать следы атаки, чтобы не срабатывали сигналы тревоги. Автор сравнивает выбор цели с решением, какой банк ограбить: небольшой, где мало денег, или крупный, где хранилище открыто.

ИИ помогает находить уязвимости, но может помогать и тем, кто хочет ими злоупотребить. Разработчики ИИ стараются настроить системы так, чтобы те отказывались выполнять запросы с преступными намерениями. Однако такие ограничения иногда удаётся обойти, а скоординированные злоумышленники могут использовать открытые модели, которые не находятся под таким контролем.

Элиот считает, что противостояние полезного и вредоносного применения ИИ будет продолжаться. Призывы полностью запретить эту технологию, по его мнению, недооценивают её преимущества и двойное назначение. В конце автор ссылается на известное высказывание Альберта Эйнштейна: опасность создают не только злые люди, но и те, кто ничего не делает. Поэтому, заключает он, важно поддерживать тех, кто применяет ИИ для защиты и противодействия злоумышленникам.