ИИ впервые нашел zero-day в ядре PHP: уязвимость PHP2Shell меняет правила игры в кибербезопасности

Прошла неделя с «черной среды» 21 октября, когда европейские правительства экстренно отключали веб-сервисы из-за критической RCE-уязвимости в ядре PHP (CVE-2026-109618). Инцидент получил название PHP2Shell и стал водоразделом: впервые zero-day уровня CVSS 10.0 в элементе инфраструктуры, удерживающем ~70% веба, была найдена ИИ-моделью нового поколения в рамках автоматического аудита.

Проблема заключалась в парсинге multipart/form-data в PHP — код, который не трогали десятилетиями из-за обратной совместимости. Человек подсознательно доверял ему, а ИИ-модель (GPT-5.6 Sol от Calif и наработки Wiz) просто скормила ядро PHP математической модели, построила граф зависимостей и нашла пограничное состояние, при котором обработка POST-запроса приводила к переполнению буфера до передачи управления веб-приложению.

Главный вывод: «проверенный временем код» — миф. Нейросети стали идеальными археологами уязвимостей, лишенными человеческих когнитивных искажений. Индустрии придется адаптироваться к реальности, где ИИ ищет zero-day быстрее, чем люди пишут код.