Уязвимость PHP2Shell затрагивала сайты на WordPress, Drupal и других системах, использующих PHP. По оценке IEEE Spectrum, под угрозой оказались ресурсы NASA, Wikipedia и Белого дома, хотя сообщений об их взломе не было. Исследователи сообщили о проблеме PHP Foundation, и исправление вышло до того, как эксплойт стал доступен злоумышленникам.
Исходную ошибку обнаружили ещё в 2024 году, но тогда она выглядела как причина аварийного завершения программы: под данные выделялось недостаточно памяти. Подобные сообщения о сбоях часто долго остаются в очереди, поскольку сами по себе не выглядят угрозой безопасности.
Во время независимого аудита PHP, проведённого Calif при поддержке OpenAI, исследователь с помощью AI-инструментов за две недели выяснил, как использовать эту ошибку для выполнения произвольного кода на сервере. Это открывало возможность чтения важных данных и установки вредоносного ПО. Calif, OpenAI и Wiz затем участвовали в подтверждении и расширении результатов. Суман Джана из Columbia University подчёркивает, что работу выполняли опытные специалисты: AI не действовал самостоятельно, но помог экспертам быстрее проводить кропотливый анализ.
На создание патча у четырёх инженеров ушло два месяца. Джана объясняет асимметрию защиты: при исправлении нужно закрыть все варианты атаки и не нарушить существующую функциональность. Для широко используемых открытых проектов без устойчивого источника дохода это особенно тяжело. Он предлагает расширять финансирование сопровождения и доступ защитников к передовым AI-моделям.
Другая надежда связана с формальной верификацией. В упомянутом подходе LLM создаёт патч и доказательство его корректности, а независимый формальный проверяющий инструмент подтверждает доказательство, поскольку самой модели доверять нельзя. Мэттью Грин из Johns Hopkins University настроен менее оптимистично и считает, что заметное финансирование появится лишь после крупного инцидента. Практический совет для пользователей остаётся простым: своевременно устанавливать обновления безопасности.