Отключение сайтов из-за уязвимости PHP, найденной с помощью ИИ

Уязвимости могут позволить удалённо выполнять код, поэтому речь идёт не о косметическом баге, а о риске для данных и сетевой инфраструктуры. PHP Foundation сообщила о выпуске исправлений.

Сначала выяснить, где у вас PHP

Если сайт работает на PHP, начните не с паники и не с перезапуска продакшена, а с инвентаризации. Важны все места, где код действительно исполняется: основной сайт, административные панели, внутренние приложения и забытые сервисы. Наличие PHP в стеке само по себе ещё не означает, что конкретная система уязвима. Но пока не проверены версия и применённые обновления, считать её защищённой тоже нельзя.

Проверьте, какая версия PHP установлена на серверах, и сопоставьте её с инструкциями по обновлению, опубликованными PHP Foundation. Затем выясните, на каких узлах обновление уже применено, а какие остались на старой версии. Обычно именно здесь обнаруживается классический костыль: один сервер обновили, второй держит старый runtime, а третий вообще выпал из конфигурационного менеджмента.

Проверка версии из shell:

php -v
php --ini

Это базовая инвентаризация, а не проверка на уязвимость и не установка исправления. Не следует считать задачу закрытой только потому, что команда показала версию PHP или сайт снова отвечает на HTTP.

Если быстро обновить нельзя

Киберподразделение ФБР рекомендовало операторам временно отключать сайты, если они не могут немедленно установить обновления. На практике решение зависит от того, насколько быстро команда может обновить затронутые системы и проверить результат. Временная недоступность неприятна, но оставлять публичный сервис без проверки при риске удалённого выполнения кода тоже не вариант.

В среду сайты некоторых организаций действительно были доступны лишь частично или ушли офлайн на время работ. Среди примеров в публикации San Diego Union-Tribune был сайт правительства Финляндии: посетителям сообщали о временном нарушении доступности государственных сайтов. Это не доказывает, что каждый PHP-сайт оказался уязвим. Это показывает другое: инфраструктура может стать недоступной не только из-за атаки, но и потому, что операторы закрывают окно риска.

После обновления проверьте, что исправление развернуто на всех нужных узлах, а приложения запускаются на ожидаемой версии PHP. Если обновление затрагивает прод, сначала оцените процедуру отката и сохраните резервную копию. Быстрый патч без плана восстановления иногда превращает security-инцидент в обычный релизный инцидент. Тоже не лучший способ провести день.

ИИ нашёл баг, дальше работает обычный процесс

По данным публикации, ИИ-агенты помогли обнаружить уязвимости; OpenAI сообщила об участии исследователей и партнёров в координации работы, а исправления выпускали сопровождающие PHP. Для инженеров важен не маркетинговый слой про ИИ, а цепочка после обнаружения: получить исправление, определить затронутые системы, развернуть обновление и убедиться, что оно применено везде.

Проверьте сейчас: php -v, конфигурацию через php --ini, список серверов и статус обновлений. Команды не заменяют инструкцию PHP Foundation и не отвечают на вопрос, уязвим ли конкретный узел. Они помогают понять, где копать. А перед любым обновлением продакшена проверьте бэкапы. Не после.