Дыра в PHP жила 10 лет. Найти и обезвредить её помог ИИ

Описание

«Нейросети пишут говнокод» — эту фразу слышал каждый, кто обсуждал ИИ с программистами. Но 21 октября PHP выпустил экстренное обновление: в языке, на котором работает огромная часть интернета, больше 10 лет жили две критические уязвимости (9,2 из 10). Злоумышленник мог выполнить свой код на сервере даже без логина и пароля.

Одну из ошибок люди заметили ещё в 2024 году, но не смогли оценить её опасность. Реальный сценарий атаки показали исследователи с моделями OpenAI и Google. Разбираю, что произошло, как ИИ помог специалистам, что проверить владельцам сайтов на WordPress, Drupal и Joomla — и почему спор «человек или нейросеть» вообще поставлен неправильно.

Если у вас сайт на PHP — проверьте версию: исправления вышли для 8.2.35, 8.3.36, 8.4.27 и 8.5.12.

Тайм-коды

00:00 «Нейросети пишут говнокод»
00:31 Две критические уязвимости в PHP
02:01 Что такое PHP и почему это важно
03:18 PHP to Shell: ошибка Use After Free
04:13 Что может злоумышленник
05:01 Как всё нашли: аудит 2024 года
06:10 OpenAI, Calif и Wiz: как помог ИИ
07:28 Никто не писал в ChatGPT «найди уязвимость»
08:46 Исправление и утечка раньше срока
09:21 Атаки: 10% организаций, в Европе 14%
10:02 Что делать владельцам сайтов
10:47 Человек или ИИ: кто пишет хуже
12:40 Не противопоставлять, а работать вместе
13:50 Главный вывод: просто вспомните про PHP