Райън Остин откри критична уязвимост в PHP

На 13 години Райън Остин напуска гимназията заради семейни проблеми. Години по-късно именно любопитството му към компютрите го превръща в един от изследователите, помогнали за откриването на сериозна уязвимост в основата на голяма част от интернет.

37-годишният американец работи дистанционно за компанията за киберсигурност Calif. През август 2026 г. той открива проблем в ядрото на езика за програмиране PHP, използван от около 70% от интернет сайтовете по оценка на Wiz. Уязвимостта получава името PHP2Shell и се оказва свързана с два отделни пропуска – CVE-2026-109618 и CVE-2026-109619.

Двете уязвимости са оценени с 9,2 от 10 по системата CVSS 4.0. При определени условия те могат да позволят на нападател без потребителски профил да изпълни собствен код на засегнат сървър. Част от проблемния код е съществувала в PHP от години, като началото му се проследява до 2012 г.

Според публикации на специализираните медии пропуските са открити в рамките на инициативата Patch the Planet на OpenAI. Свързани проблеми са били открити независимо и от изследователи на Wiz. Това е наложило координация между компаниите, разработчиците на PHP и операторите на интернет услуги, преди информацията да стане публична.

„Когато най-накрая осъзнах колко голяма е уязвимостта и какво засяга, последва онзи момент на пълно стъписване“, казва Остин пред The Times. По думите му най-трудната част е била засегнатите организации да бъдат предупредени, без подробностите да попаднат при злонамерени хакери.

Остин е използвал инструмент с изкуствен интелект при прегледа на PHP кода. Той обаче не е приел автоматично резултата, а е проверил сам дали откритието е реално и дали може да има практически последици.

„Случаят показва, че изкуственият интелект може да намира такива пропуски, но е бил нужен и човек като мен, който да разбере за какво става дума“, казва изследователят.

Точно човешката преценка е била важна, тъй като първоначално Остин не е бил сигурен дали инструментът не е допуснал грешка. След допълнителните проверки той е съобщил проблема на разработчиците на PHP и е работил по отстраняването му.

На 21 октомври 2026 г. бяха публикувани спешни поправки за поддържаните версии PHP 8.2.35, 8.3.36, 8.4.27 и 8.5.12. За по-старите версии, които вече не се поддържат, няма актуализация от екипа на PHP.

Според Amazon преди публичното обявяване е бил засечен опит за експлоатация на уязвимостта. След разкриването на проблема са регистрирани и множество заявки, насочени към потенциално уязвими сървъри. Това не означава автоматично, че всички опити са довели до успешен пробив, но показва колко бързо подобна информация може да бъде използвана.

Остин започва да се занимава с компютри още като тийнейджър. Той казва, че липсата на диплома го е принудила да се учи чрез четене на чужд код и практически опити. Днес същото любопитство му помага да открие проблем, който е можел да засегне сайтове, онлайн услуги и организации по целия свят.

Теми: OpenAIPHPPHP2ShellWizкиберсигурностРайън Остин