OpenAI: модель GPT‑5.6 Sol нашла критическую дыру в PHP, на котором 70% сайтов

OpenAI объявила, что её модель GPT‑5.6 Sol нашла критический дефект в PHP, одном из самых распространённых языков серверной разработки. По данным компании, PHP работает примерно на 70% сайтов в мире. Последние два месяца OpenAI вела коалицию из мейнтейнеров, исследователей и поставщиков безопасности, которая занималась устранением критических проблем в языке. Блог вышел несколько часов назад, и китайские издания, включая Jiqizhixin, уже называют инцидент одной из самых влиятельных уязвимостей в истории проекта.

Два месяца тишины перед публикацией

Громкий анонс стал финалом долгой подготовки. Две месяца назад история началась не с пресс-релиза, а с закрытого канала связи между OpenAI и людьми, которые отвечают за кодовую базу PHP. Такой порядок называют координированным раскрытием: сначала уязвимость тихо сообщают сопровождающим, потом готовят патчи для поддерживаемых веток, предупреждают крупных поставщиков хостинга и безопасности, и только после этого рассказывают публике.

То, что OpenAI не просто передала отчёт, а возглавила коалицию, выделяет эту историю на фоне привычных баг-репортов. Компания взяла на себя роль организатора. Обычно эту функцию выполняют сами проекты, CERT-центры или крупные вендоры вроде Google и Microsoft.

Почему именно PHP

PHP появился в середине 1990-х и до сих пор лежит в основе огромной части веба: на нём построены WordPress, Drupal, Magento, Laravel и бесчисленные корпоративные сайты. Дефект в самом языке или его стандартных компонентах задевает не один продукт, а всю цепочку: от ядра до плагинов, хостинговых образов и контейнеров, которые годами лежат в продакшене без обновлений.

Именно поэтому цифра в 70% здесь важнее, чем строчка в чьём-то описании уязвимости. Даже если эксплуатация требует определённых условий, число потенциально затронутых серверов измеряется миллионами. А у PHP есть особенность: множество инсталляций работает на устаревших версиях, которые давно не получают исправлений.

Модель как охотник за багами

До сих пор громкие примеры поиска уязвимостей с помощью ИИ относились к узким задачам: Google Big Sleep нашёл ошибку в SQLite, команды на соревновании DARPA AIxCC автоматически чинили код. Случай с GPT‑5.6 Sol поднимает ставку: речь о критической проблеме в базовом рантайме, который мониторят тысячи глаз, и о находке, потребовавшей полноценной многосторонней операции по исправлению.

Для индустрии это сигнал сразу в две стороны. Защитникам модели дают шанс проверять зрелые проекты быстрее, чем это делают команды людей. Но те же инструменты доступны и атакующим, а значит, окно между публикацией патча и появлением эксплойтов будет сжиматься.

Ключевые параметры истории:

• Модель: GPT‑5.6 Sol
• Цель: PHP, открытый язык программирования
• Охват: около 70% сайтов в мире
• Длительность координации: примерно два месяца
• Участники: мейнтейнеры, исследователи, поставщики безопасности
• Организатор коалиции: OpenAI

Что делать командам, которые держат PHP в продакшене

Первое — инвентаризация. Нужно понять, какие версии PHP реально работают на серверах, в контейнерах и у хостинг-провайдера, особенно в забытых проектах и старых CMS. Второе — следить за официальными релизами безопасности PHP и рассылками своего дистрибутива или хостера. Когда выйдут патчи для поддерживаемых веток, обновляться стоит быстро: после публикации исправления атакующие получают подсказку, куда смотреть.

Третье — вопрос тем, кто всё ещё сидит на версиях, снятых с поддержки. Для них исправления могут не выйти вовсе, поэтому план миграции на актуальную ветку лучше начинать до, а не после первых эксплойтов. И наконец, стоит проверить, что у вас есть мониторинг необычной активности на веб-серверах и WAF с возможностью быстро включать виртуальные патчи.

Для тех, кто строит процессы безопасности, есть и стратегический вывод: ИИ-аудит открытого кода становится рабочим инструментом. Запускать подобные проверки на собственных зависимостях пора уже сейчас, пока это не сделал кто-то другой.