Глава Chainguard Дэн Лоренц 21 октября опередил общий выпуск исправлений PHP почти на 6 часов. Chainguard откр…

Глава Chainguard Дэн Лоренц 21 октября опередил общий выпуск исправлений PHP почти на 6 часов. Chainguard открыла образы в 07:41 UTC, разработчики PHP опубликовали защитные версии около 13:40. Обновлённый код можно было изучать, пока другие поставщики готовили свои пакеты. Так обнаружилась неприятная особенность эпохи ИИ: искать ошибки стало быстрее, чем безопасно устранять их на серверах. Речь о 2 дефектах — CVE-2026-109618 и CVE-2026-109619. Они допускают удалённое исполнение кода на уязвимом сервере без авторизации. По подсчёту W3Techs, PHP используется на 69,3% сайтов с распознанной серверной технологией. Это не число взломанных сайтов. Серьёзная ошибка в таком языке угрожает множеству сайтов. Фонд PHP знал о признаках одной ошибки с 2024 года. Предложенные правки могли нарушить работу приложений. В августе 2026-го исследователь Calif, участвовавший в программе OpenAI Patch the Planet, обнаружил реальную возможность исполнения кода. OpenAI и Wiz сообщили о связанных находках. Решение потребовало пересмотреть старый код, сохранив его совместимость с сайтами. Релиз назначили на 22 октября. Уже 20-го в сеть попали номера ошибок, затем Calif по ошибке обнародовала видео с демонстрацией атаки. Фонд передвинул выпуск на сутки раньше. Утром 21-го Chainguard разместила готовые исправленные программы. Сравнение версий выдаёт детали ошибки тем, кто ещё ждёт патча. ИИ способен ускорить такое исследование, хотя применение этих инструментов нападающими в данном случае не установлено. Согласованная дата была условием общей защиты. Лоренц оправдывал свой шаг сообщениями об активных нападениях. Amazon наблюдала попытку в системе-приманке 17 октября, до утечки, и новые образцы утром 21-го. Кто дал злоумышленникам сведения об ошибке, неизвестно. Фонд PHP сообщил, что среди проверенных к общему выпуску образцов работоспособного эксплойта не нашёл. Нападение на ловушку не доказывает взлома сайта. Глава Cloudflare Мэтью Принс описал скорость реакции нападающих: тысячи попыток за 10 часов до анонса, десятки тысяч через 45 минут после объявления, сотни тысяч спустя 2 часа. Позднее счёт дошёл до миллионов. Это количество запросов к сети Cloudflare, включая безрезультатные, а не число захваченных серверов. Фильтры Cloudflare прикрывали сайты до установки патча. Chainguard могла быстрее обезопасить своих клиентов. Остальным пришлось ждать исходного проекта ещё 5 часов 59 минут. Доступная сборка облегчала исследование ошибки. Однако попытка 17-го и утечка 20-го предшествовали публикации Chainguard. Компания добавила риск к уже нарушенному порядку раскрытия. Европейская ENISA, американское АНБ и службы Британии, Австралии и Канады предупредили организации. Некоторые государственные сайты на время закрыли из предосторожности. Такое отключение говорит о защитном решении, не о состоявшемся взломе. Исправления выпустили для PHP 8.2–8.5. Владельцам старых неподдерживаемых версий 8.1 и ниже остаётся обновлять язык либо получать отдельную правку у поставщика. Исполнительный директор Фонда PHP Элизабет Бэррон рассказала Reuters о 1 постоянном сотруднике и 14 преимущественно частично занятых подрядчиках. С июля они проверили свыше 100 ошибочных, повторных или невоспроизводимых сообщений. ИИ приносит инженерам больше находок, но каждой опасной ошибке необходима проверенная правка, которая сохранит работу зависимых приложений. Дефицит специалистов уже задержал работу над дефектом, известным с 2024 года. 21 октября фонд успел выпустить патчи раньше намеченного срока, но ранняя публикация Chainguard помешала одновременной публикации защищённых версий для всех пользователей. ИИ поможет защите, когда разработчики научатся столь же быстро проверять и распространять исправления. Иначе злоумышленники станут разбирать сведения о новых ошибках быстрее, чем небольшая команда PHP успеет закрыть эти входы. /// ПолитДоклад