🛡️ Дыру в PHP нашёл ИИ, патч вышел 21 октября, атаки шли до него. Проверка сайта за вечер и её цена

На этой неделе ИИ-модели нашли две критические уязвимости в PHP, языке, на котором работает около 70% сайтов мира. Патчи вышли 21 октября, попытки атак зафиксированы ещё 17-го, правительства Финляндии и Нидерландов на день выключили свои сайты. У вашего бизнеса сайт, скорее всего, на PHP, и его «просто сделали» три года назад. Разбираю, что это значит в деньгах и что проверить за вечер.

Что случилось, без техники

Две уязвимости, которым дали общее имя PHP2Shell, позволяют чужому коду выполниться на сервере без входа в админку: подмена страниц, кража данных, атака на посетителей. Нашли их две исследовательские компании с помощью ИИ-моделей, PHP выпустила исправленные версии (8.2.35, 8.3.36, 8.4.27 и 8.5.12) на день раньше плана, потому что описание утекло в сеть. Инженер фонда, который поддерживает PHP, назвал это самой серьёзной уязвимостью за десять лет.

Что это меняет

Раньше между находкой уязвимости и первыми атаками проходили недели: атакующему нужно было понять, как ею пользоваться. Теперь модели ищут дыры и помогают их использовать: исследователи Wiz прямо пишут, что ИИ снизил порог входа. Окно сжалось до дней, и так будет с каждой следующей. Для бизнеса с сайтом это значит: обновление в день патча становится регламентом, как оплата хостинга, и перестаёт быть задачей «когда будет время».

Салфетка

Интернет-магазин с десятью заявками в день и средним чеком 5 000 ₽ теряет за день простоя около 50 000 ₽ выручки. Час подрядчика на проверку версии и обновление стоит 2–5 тысяч. Неделя с подменёнными страницами и чужими формами оплаты стоит репутации, и эту цену в салфетке не посчитать. Выключить сайт на вечер, как сделали правительства, стоит 50 тысяч; не трогать — лотерея с неизвестным билетом. Цифры подставьте свои, порядок останется.

Три проверки на вечер

Первая: узнать версию PHP в панели хостинга или одним письмом подрядчику; ответ «всё обновляется автоматически» не считается, нужна цифра. Вторая: сравнить с четырьмя номерами выше; всё, что старше ветки 8.2, обновляется целиком. Третья: если обновить сегодня нельзя, включить защиту на уровне сети у хостинга или Cloudflare (правила вышли для всех тарифов, включая бесплатный) и сделать резервную копию до любых действий. Если сайт неделю стоял открытым, после обновления сменить пароли админки и ключи платёжных интеграций: это час, а проверить отсутствие взлома без специалиста нельзя.

🤖 ИИ-часть: письмо подрядчику

Если своего админа нет, нейросеть напишет письмо, на которое нельзя ответить «всё нормально»: «Составь письмо подрядчику по сайту с четырьмя вопросами: какая версия PHP стоит на сайте сейчас, обновлена ли она до 8.2.35 / 8.3.36 / 8.4.27 / 8.5.12 после 21 октября, сделана ли резервная копия до обновления, включена ли защита на уровне сети. Попроси ответить цифрами и датами, без общих слов, в течение суток». Ответ с четырьмя цифрами и есть проверка; ответ без цифр тоже ответ.

Честно

Версии и даты взяты из публикаций 21–22 октября; часть хостингов обновила PHP сама, и тогда проверка займёт минуту. Я делаю и сопровождаю сайты, мне выгодно, чтобы «регламент обновлений» выглядел услугой; всё, что выше, делается без подрядчика при доступе к панели. И это не последняя такая новость. ИИ будет находить уязвимости быстрее, чем люди их чинят, и единственная защита бизнеса без админа — договор, в котором написано «критические обновления в течение суток, с уведомлением».

👇 Подрядчик по сайту написал вам первым на этой неделе или вы узнали из новостей? И какая версия PHP у вас стоит — если знаете без звонка, вы в меньшинстве.

#бизнес #ии

Не инвестиционная рекомендация.