Специалисты по кибербезопасности проанализировали потенциальную угрозу новой уязвимости в языке программирования PHP, сравнив её с историческими инцидентами масштаба Log4Shell и Heartbleed. Эксперт Элиас Тейлор выступил с разъяснениями, заявив, что текущая ситуация не является системным кризисом безопасности, а сложность реализации атак на практике значительно преувеличена в медийном пространстве.
Проблемы с доказательством концепции
В ходе исследования было обнаружено, что большинство скриптов Proof of Concept (PoC), опубликованных на платформе GitHub, не обеспечивают заявленную функциональность. Тейлор отметил, что данные инструменты эксплуатации демонстрируют неработоспособность при попытке применения к нативным экземплярам PHP. Это ставит под сомнение возможность массовых автоматизированных атак, которые были характерны для критических брешей прошлых лет.
Многие скрипты доказательства концепции, распространившиеся на GitHub, не функционируют корректно на нативных экземплярах PHP, что опровергает тезис о легкости эксплуатации данной уязвимости
Влияние ИИ на кибербезопасность
Одной из причин появления большого количества нерабочих эксплойтов эксперт называет чрезмерное доверие пользователей к большим языковым моделям (LLM). Разработчики и исследователи безопасности стали чаще использовать ИИ для генерации программного кода, что привело к ряду негативных последствий:
- Распространение синтаксически корректного, но логически неверного кода;
- Отсутствие должной критической оценки результатов, полученных от нейросетей;
- Снижение порога входа для создания вредоносного ПО, что ведет к «зашумлению» информационного поля низкокачественными инструментами.
По мнению эксперта, индустрия сталкивается не с технологическим кризисом PHP, а с кризисом верификации данных, созданных искусственным интеллектом.
Перспективы и рекомендации
Несмотря на то, что риск признан менее значительным по сравнению с Log4J, ИТ-специалистам рекомендуется сохранять бдительность и придерживаться стандартных протоколов обновления ПО. Текущая ситуация подчеркивает важность ручного аудита кода и проверки любых автоматизированных решений перед их внедрением в производственную среду. В долгосрочной перспективе это может способствовать пересмотру подходов к использованию ИИ в сфере информационной безопасности.