Моделі знайшли критичні діри в ядрі PHP

тема 1PHP2Shell: моделі знайшли критичні діри в ядрі PHP, а реліз зірвав витік

Учора тут писали, що PHP готує критичне оновлення. 21.10 воно вийшло: PHP 8.5.12, 8.4.27, 8.3.36 і 8.2.35. Оновлення закриває дві вразливості, CVE-2026-109618 і CVE-2026-109619, обидві з CVSS 9.2.

Обидві сидять у керуванні памʼяттю і обробці фатальних помилок. Запит, що впирається в memory_limit у невдалий момент, лишає після себе зіпсований внутрішній стан. Наступний запит у тому самому воркері бере цей стан за живий. Так атакер без логіну отримує або читання памʼяті процесу, або виконання коду.

Wiz пише, що вразливі всі версії аж до PHP 5.4. Дослідники показали виконання коду без автентифікації на свіжих образах WordPress, Drupal і Joomla. Окремо вони показали читання памʼяті воркера з паролями, токенами і ключами API. Wiz працювала з Wiz Atlas, Gemini 4 Argon і GPT-5.6 Sol. За її словами, саме моделі зробили експлойт практичним: він вимагає довгого ланцюжка кроків під розкладку памʼяті кожної цілі.

Історія фіксу довша за історію знахідки. PHP Foundation пише, що перші ознаки проблеми знайшов її розробник ще у 2024 році, під час аудиту Quarkslab. Команда безпеки не змогла вибрати між кількома варіантами фіксу, і робота стояла місяцями. Фонд прямо називає це структурним провалом.

30.07 PHP увійшов у програму OpenAI Patch the Planet, і аудит почала фірма Calif. 11.08 Calif і OpenAI того самого дня незалежно повідомили про виконання коду з тим самим коренем. Wiz прислала свій звіт 24.08. Від 01.07 команда PHP опублікувала 15 CVE і розібрала понад 100 звітів, які виявились хибними, дублями або не відтворились.

Скоординоване розкриття зламалось за два дні до дати. 20.10 о 15:00 UTC номери CVE зʼявились у мережі з хибним часом релізу і хибною оцінкою CVSS 10.0. PHP переніс реліз з 22.10 на 21.10 о 14:00 UTC. Після цього Calif помилково опублікувала відео з робочим експлойтом і потім видалила його, але копії розійшлись. 21.10 о 07:41 UTC Chainguard порушила ембарго і виклала зібрані образи з фіксом. Будь-хто міг вивчати патч у бінарному вигляді за шість годин до релізу.

Оцінки загрози розходяться. OpenAI називає це однією з найвпливовіших проблем безпеки за останні роки і обіцяє $1 мільярд субсидованого доступу до Daybreak для захисників. Віллісон пише, що експлойти ходили з ночі. PHP Foundation на момент релізу робочих експлойтів не бачила.

Розробник Еліас Тейлор перевірив публічні PoC з GitHub і пише, що на чистому PHP вони не працюють. Більшість із них вимагає вже наявної діри в застосунку, а саме включення локального файлу.

Чому це важливо. Моделі знайшли вразливість, яка жила в ядрі понад десять років. Це підтверджують незалежно три сторони: PHP Foundation, Wiz і OpenAI. Друга половина історії важливіша для будь-якої команди підтримки. Потік звітів від AI-інструментів уже перевищує пропускну здатність маленьких команд, а ембарго ламається на людях і процесах. Звідси практичний висновок: оновлюватись треба в день релізу.

тема 2Railway і LiteLLM: дві атаки за добу, обидві заради ключів до AI

Хмарна платформа Railway зранку 21.10 помітила підозрілу активність у системах, де лежать змінні середовища клієнтів. За її даними, сторонній отримав доступ до зашифрованих змінних, а частину з них розшифрував. У таких змінних зазвичай лежать ключі API і доступи до баз. Railway радить усім клієнтам змінити всі змінні і ключі реєстрів. Усі деплої на платформі стоять, поки триває розслідування. Компанія вважає атаку частиною серії ударів по платформах, мета яких - ключі до провайдерів інференсу. Провайдерів Railway попросила відкликати всі ключі.

Того ж дня SafeDep розібрала реліз LiteLLM 1.107.0 на PyPI. Цю бібліотеку широко використовують як шлюз до різних LLM. У всіх семи колесах реліз ніс крадій паролів і бекдор. Шкідливий код запускався з будь-яким процесом Python на машині, навіть без імпорту litellm. Крадій збирав ключі SSH, хмарні доступи, секрети CI, токени Claude Code, Cursor, Codex та інших AI-інструментів.

Також він брав ключі провайдерів LLM з бази проксі LiteLLM. Бекдор щогодини читав адресу сервера з файлу на GitHub і запускав код звідти.

У репозиторії на GitHub шкідливого коду нема. SafeDep перевірила 539 запусків GitHub Actions і не знайшла того, що зібрав реліз. Її версія з помірною або високою впевненістю: приватний конвеєр BerriAI зібрав колеса з підміненого коду. Акаунт на GitHub з адресою сервера зник о 13:40 UTC, приблизно через дві години після релізу. PyPI реліз прибрав. Версії 1.106.2, 1.107.0rc1 і 1.107.0rc2 чисті.

Чому це важливо. Ключ до AI-провайдера став окремою ціллю: він дає і гроші, і доступ до даних, і обчислення. Звʼязку між двома атаками ніхто не підтвердив, але ціль у них однакова.

Якщо LiteLLM 1.107.0 потрапив хоча б на одну машину, ключі з неї вважаються скомпрометованими.

Перевстановлення пакета тут не допомагає, потрібна ротація всіх секретів.

тема 3Anthropic: Claude знайшов 493 зайві входи в код 25 проєктів

Anthropic описала інший підхід до захисту коду. Модель шукає код, який досяжний без потреби, і ховає його за автентифікацію або явне ввімкнення. Claude пройшов 25 відкритих проєктів, понад 5 мільйонів рядків на C, C++, Java, PHP і Python. Він склав перелік з понад 17 000 опцій конфігурації, з них 3 842 стосуються безпеки. Разом модель знайшла 493 проблеми.

В усіх 11 проєктах, які мають працювати лише після входу, знайшовся код, досяжний до входу. Там модель знайшла 93 зайві поверхні до автентифікації в стандартній конфігурації. Ще 162 комбінації налаштувань система приймала без помилки і без документації. У 94 з них комбінація тихо вимикала захист. В одному випадку дві опції разом вимикали перевірку клієнтського сертифіката. Тоді сервер, налаштований лише на довірених клієнтів, приймав будь-кого.

Один патерн знайшовся в чотирьох незалежних проєктах. Адміністратор пише правило заборони за імʼям хоста. Зворотний DNS вимкнений, тому сервер порівнює правило з IP-адресою як з текстом.

Імʼя хоста ніколи не збігається з IP, і список заборон пропускає всіх.

Чому це важливо. Пошук окремих вразливостей погано масштабується: виправлена діра нічого не каже про решту. Зменшення досяжного коду знижує вагу і тих дір, яких ще ніхто не знайшов. Це дослідження самої компанії, незалежної перевірки цифр поки нема. Але перевірку правил доступу за іменами хостів кожен адміністратор може зробити сьогодні.

тема 4Anthropic показала Claude Duet, агента, який пише першим

Claude Duet - окремий застосунок для iOS і Android, на компʼютері він відкривається на claude.ai.

Агент працює на Opus 5.5. Він сам не чекає запиту: щоранку надсилає зведення з пошти, календаря і робочих застосунків. Потім він кожні кілька годин перевіряє ці акаунти і пише, коли щось потребує уваги. Задачі йому дають повідомленнями, текстом або голосом. Агент працює на власному хмарному компʼютері і має доступ до понад 6 000 конекторів і плагінів.

Перед надсиланням повідомлення або оплатою агент питає згоди. NYT пише, що купувати він може через Link від Stripe і Shop Pay від Shopify, але кожну покупку схвалює людина. Торгівлю акціями і перекази між рахунками заблоковано навіть зі згодою. Окремий фільтр не дає агенту передавати номери карток і документів.

Duet доступний як дослідне превʼю за списком очікування, лише для Pro і Max у США. Окремої плати нема, але фонові перевірки витрачають ліміти підписки. Anthropic сама пише, що агент може неправильно прочитати тред або помилитись у терміновості. NYT ставить його в один ряд з dots від OpenAI, Muse від Meta і Gemini Spark від Google. На відміну від них, Anthropic робить ставку на роботу, а побутові доручення агенту даються гірше.

Чому це важливо. Чат-бот чекає людину, агент Duet приходить до неї сам. Через це головне питання тепер у тому, як часто агент відволікає і що він робить без нагляду. Варто дивитись, як фонові перевірки зʼїдатимуть ліміти, бо за них платить звичайна підписка.

тема 5Mistral Large 4: трильйон параметрів, ваги до кінця місяця

Mistral відкрила публічне превʼю Mistral Large 4 через API. Це мультимодальна модель на 1 трильйон параметрів, з них активних 52 мільярди. Ваги компанія обіцяє викласти до кінця жовтня.

До того модель проходить червону команду з партнерами з кібербезпеки і державними органами.

Вони отримують версію з послабленою модерацією і розширеними кібер-можливостями.

Модель навчили з нуля на 3 800 GPU NVIDIA Grace Blackwell у власних дата-центрах Mistral в Європі. Цифри дає сама компанія. На DeepSWE v1.1 модель набирає 61,7%, на Terminal-Bench 4 - 28,3%. У сліпій оцінці коду від Surge AI вона друга з пʼяти моделей: 3,74 бала проти 4,22 у Claude Opus 5. У тесті з Artificial Analysis Cyber Index, де модель відтворює справжню вразливість і латає її, Mistral заявляє 82%, найвищий результат серед усіх моделей.

Чому це важливо. Mistral прямо продає відкриті ваги як аргумент для кібербезпеки. Відмова провайдера посеред інциденту теж є ризиком, і власна модель його знімає. Незалежних замірів поки нема, і обіцянка «ваги до кінця місяця» поки лише обіцянка. Перевірка буде тоді, коли ваги зʼявляться на Hugging Face.

тема 6Meta: рекордна виручка, мінусовий грошовий потік і штраф $25 мільярдів

Meta звітувала за третій квартал. Виручка зросла на 26%, до $64,6 мільярда. Витрати зросли на 68%, до $51,6 мільярда. Прибуток склав $9,8 мільярда. Нижню межу капітальних витрат на рік Meta підняла з $130 до $135 мільярдів, основна частина йде на дата-центри. Вільний грошовий потік за квартал став відʼємним: мінус $2,12 мільярда. Довгостроковий борг виріс до $80,9 мільярда.

Щоб мати гроші на AI, Meta у січні випустить новий клас акцій і проведе спліт 2 до 1. Semafor пише, що нові акції будуть без права голосу. Так компанія зможе продавати акції, платити інженерам і купувати компанії без розмивання контролю Цукерберга. Схожий хід Alphabet зробила у 2014 році.

Того ж дня суд у Нью-Мексико призначив Meta штраф $25 мільярдів у справі, що виросла зі скандалу Cambridge Analytica. Присяжні у вересні нарахували понад 43 мільйони порушень закону про нечесну практику, до $5 000 за кожне. Штат отримав право на $219,5 мільярда, але суддя зменшив суму до $25 мільярдів. Відсотки на суму нараховуються за ставкою 15% на рік.

Чому це важливо. Навіть компанія з рекордною рекламною виручкою вже не покриває AI-витрати грошима з бізнесу. Великі техкомпанії перестали викуповувати акції і почали їх продавати. Для інвестора це розмивання частки, для ринку це ще один сигнал ціни гонки за обчисленнями.

тема 7Muse від Meta: 6 800 «приватних» посилань знайшлись одним запитом

Агент Muse дає ділитись розмовою через посилання. Усі такі посилання живуть на піддоменах cf.metaaiusercontent.com, і в імʼя піддомену входить назва розмови. Коли одержувач відкриває посилання, DNS-запит потрапляє в комерційні бази пасивного DNS. Дослідники фірми Claroc одним запитом до такої бази отримали 6 800 посилань.

Вони відкрили кілька сотень і знайшли там внутрішній огляд виручки для CEO, заявку на кредит, нотатки до конфіденційної співбесіди з AI-лабораторією і графік відпусток цілої компанії.

Claroc повідомила про проблему через програму bug bounty 08.10 і відповіді не отримала. Після запитання Ars Meta призупинила функцію поширення. За даними NYT, Muse має понад 10,5 мільйона завантажень з 08.09.

Чому це важливо. Довгий випадковий рядок у посиланні не захищає, якщо адреса потрапляє в DNS.

Будь-який сервіс з посиланнями на піддоменах має ту саму слабкість. Секрет у посиланні безпечніше тримати в шляху або в параметрі. Імʼя хоста для цього не годиться.

тема 8Моделі OpenAI зʼявляться в Google Cloud

OpenAI і Google Cloud домовились додати моделі OpenAI і агентні сценарії Codex у Model Garden.

Клієнти купуватимуть їх через Google Cloud Marketplace. Компанії з зобовʼязаннями витрат у GCP зможуть списувати покупки в рахунок цих зобовʼязань. Згодом моделі OpenAI зʼявляться в Google Antigravity і Gemini Agent. Загальний доступ обіцяють у найближчі тижні. OpenAI окремо пише, що Microsoft лишається її головним хмарним партнером.

Чому це важливо. Для великих компаній бюджет на хмару часто вже розписаний. Можливість платити за OpenAI з бюджету Google прибирає закупівельний барʼєр. Конкуренти Gemini тепер продаються у вітрині самого Google, і вибір моделі під задачу стає звичайною практикою.

тема 9Тисячі агентів GPT-Rosalind за 32 хвилини розібрали атлас мозку миші

16.10 тут писали, що OpenAI відкрила GPT-Rosalind для академічних лабораторій. Тепер OpenAI, PerturbAI і Scripps Research показали першу велику роботу з нею. Тисячі агентів розібрали атлас CRISPR усього мозку миші за 32 хвилини. Кожен агент брав одне вимкнення гена, аналізував реакцію клітин, шукав літературу і пропонував пояснення. Команда оцінює ручну роботу такого обсягу в кілька місяців або рік.

За даними OpenAI, агенти відтворили висновки людей і знайшли нові гіпотези. Одна повʼязує транспорт холестерину з дегенерацією нейронів через ген DCTN1. Інша пояснює, чому мутації TSC2 дають важчу форму туберозного склерозу, ніж мутації TSC1. Оцінки новизни від агентів збіглись з оцінками експертів у сліпому порівнянні.

Чому це важливо. Схема з тисяч паралельних агентів дає гіпотези. Кожну з них ще треба перевірити в лабораторії. Рецензованої статті поки нема, усі цифри дає компанія. Цінність у швидкості першого проходу по великих даних, які інакше лежать нерозібраними.

короткоРешта за добу