бизнес
Бэкдор в PHP: OpenAI и Wiz раскрыли детали атаки на репозиторий языка
Компании OpenAI и Wiz независимо рассказали, как нашли вредоносный коммит в репозитории PHP. Разбор показал масштаб скрытой угрозы для всего интернета.
История с атакой на PHP получила новое развитие: OpenAI и облачная компания Wiz опубликовали собственные разборы инцидента, вернув внимание рынка к одной из самых серьёзных попыток компрометации открытой инфраструктуры.
Речь о вредоносном коммите в репозитории PHP, который был обнаружен в марте 2025 года. Злоумышленник внёс изменения в ветку master под видом исправления опечатки — типичная маскировка, рассчитанная на то, что мейнтейнеры пропустят правку при беглом ревью. Если бы коммит остался незамеченным и попал в официальный релиз, атакующие получили бы возможность удалённого исполнения кода на серверах по всему миру.
Масштаб потенциального ущерба объясняется долей PHP в сети: по распространённым оценкам, язык до сих пор работает на значительной части веб-сайтов, включая крупные платформы вроде Wikipedia. Компрометация самого интерпретатора означала бы единый вектор атаки сразу на миллионы серверов.
Интересно, кто и как нашёл угрозу. По данным OpenAI, её система автоматизированного поиска уязвимостей на базе ИИ выявила аномалию в коде. Wiz провела независимое расследование и восстановила картину атаки: злоумышленник получил доступ к инфраструктуре проекта, а правка провела в репозитории около двух суток, прежде чем её заметил разработчик Arnaud Le Blanc.
Проект PHP отреагировал быстро: коммит откатили, доступы пересмотрели, команда перешла на двухфакторную аутентификацию для коммитеров. Но инцидент обнажил уязвимость самой модели открытой разработки — доверие к десяткам мейнтейнеров с правами записи остаётся самым слабым звеном цепочки поставок кода.
Публикации OpenAI и Wiz поднимают и другой вопрос: те же ИИ-системы, которые помогают находить бэкдоры, доступны и атакующим. Автоматизация поиска уязвимостей работает в обе стороны, и гонка между защитниками и взломщиками только ускоряется.