Два бага пролежали в коде PHP практически незамеченными около двадцати лет. Нашла их не команда security-инженеров, а нейросеть — точнее, сразу две, и независимо друг от друга. Компания Wiz, принадлежащая Google, натравила на исходники PHP собственного ИИ-агента. Отдельная фирма Calif получила похожий результат с помощью модели OpenAI GPT-5.6 под именем Sol. Обе группы наткнулись на одну и ту же проблему — её назвали PHP2Shell и зарегистрировали как CVE-2026-109618 и CVE-2026-109619.
Если упростить, баг позволяет выполнить произвольный код на чужом сервере удалённо, без пароля и логина — то есть полностью захватить сайт. PHP — язык, на котором работает примерно семь из десяти сайтов в мире с определяемым языком программирования, включая WordPress и тысячи государственных порталов. В Wiz прямо написали, что находка «входит в число самых серьёзных уязвимостей в истории PHP и, пожалуй, в истории софта вообще».
Wiz нашла первый баг 19 августа, через пять дней сообщила команде PHP. Разработчики языка тихо готовили совместное исправление вместе с Cloudflare, AWS, Microsoft, Google Cloud, Automattic (владеет WordPress.com), Fastly, Akamai, Imperva и Vercel — список намекает, от какой доли интернета зависел этот патч. Публичный релиз планировали на 22 октября, но 20 октября детали утекли в сеть, и разработчикам пришлось выпустить патч раньше срока — 21 октября в 14:00 по UTC, для версий 8.5.12, 8.4.27, 8.3.36, 8.2.35 и с бэкпортами для 8.1, 8.0 и 7.4.
Пока патчи расходились по серверам, несколько стран на всякий случай отключили часть госсервисов. В Нидерландах легли портал Overheid.nl, сайт футбольной федерации KNVB, страницы крупнейших партий и ряда больниц. В Финляндии оператор Valtori вывел из сети государственную сеть, во Франции на профилактику ушли сайты МВД, в Дании — платформа для школ Kombit, в Японии хостер Sakura Internet отключил часть функций баз данных. Американское АНБ выпустило редкое для себя публичное предупреждение, а «Википедия» на время остановила часть своих систем.
История интересна не столько самим багом, сколько тем, кто его нашёл. Две компании, два разных ИИ, одна и та же находка — и это за месяцы до того, как про уязвимость узнал хоть кто-то из людей. Специалисты по безопасности теперь открыто говорят: если нейросети научились откапывать двадцатилетние дыры в коде, которому доверяет весь интернет, те же инструменты рано или поздно окажутся и в руках атакующих — и тогда счёт пойдёт не на месяцы, а на часы.
