В IT-сообществе поднялась волна обсуждений новой уязвимости в PHP. Многие поспешили сравнить её с такими громкими инцидентами, как Log4Shell или Heartbleed, однако эксперты призывают не паниковать. В отличие от прошлых критических багов, данная проблема оказалась гораздо сложнее для практической реализации.
Проблема «фейковых» эксплойтов
На GitHub появились тысячи так называемых PoC-эксплойтов, однако при попытке запустить их на «чистом» сервере PHP они попросту не работают. Основная причина кроется в том, что многие пользователи полагаются на ИИ-модели при анализе кода, а не на собственные знания. Исследователи отмечают, что LLM часто выдают желаемое за действительное, предлагая нерабочие цепочки эксплойтов.
Почему ИИ вводит в заблуждение
Интересной особенностью большинства «доказательств» уязвимости является их зависимость от LFI (локального включения файлов). Чтобы такой эксплойт сработал, сервер уже должен иметь критическую дыру, позволяющую злоумышленнику читать произвольные файлы. По сути, ИИ часто «подгоняет» результат, создавая искусственную уязвимость на тестовом сервере, чтобы доказать эффективность своего метода.
Эксперты выделяют несколько ключевых моментов:
- Большинство PoC не работают против стандартной конфигурации PHP.
- ИИ-модели склонны к «групповому мышлению», предлагая одинаковые ошибочные решения.
- Отсутствие реальных ботнетов, использующих эту уязвимость спустя 10 часов после публикации, подтверждает её низкую опасность.
Ситуация наглядно демонстрирует риски передачи принятия решений нейросетям. Вместо того чтобы самостоятельно разбираться в цепочках UAF (use-after-free), многие полагаются на Claude или GPT, которые в данном случае оказались неспособны создать реальный вектор атаки. На данный момент нет оснований считать эту уязвимость событием уровня Log4J.
Источник: eliastaylor.com