ИИ-модель обнаружила критическую уязвимость в ядре PHP

Исследователи зафиксировали случай обнаружения критической уязвимости в ядре PHP, получившей идентификатор CVE-2026-109618. Уязвимость класса RCE (Remote Code Execution) с оценкой CVSS 10.0 была выявлена в процессе автоматизированного аудита с помощью нейросетевых моделей, что стало прецедентом в области кибербезопасности.

Проблема кроется в механизме парсинга multipart/form-data, который десятилетиями считался стабильным и не подвергался глубоким изменениям из-за требований обратной совместимости. В отличие от человека, склонного доверять проверенному временем коду, ИИ-модель построила граф зависимостей и выявила пограничное состояние, приводящее к переполнению буфера до передачи управления веб-приложению.

Инцидент, получивший название PHP2Shell, продемонстрировал способность нейросетей находить уязвимости нулевого дня в фундаментальных элементах инфраструктуры, на которых базируется около 70% современного веба. Использование математического моделирования позволило обнаружить ошибку, которую не удавалось выявить традиционными методами статического анализа на протяжении многих лет.

Для специалистов по безопасности этот случай означает необходимость пересмотра стратегий аудита legacy-кода. Теперь автоматизированные системы на базе ИИ способны находить критические бреши в коде, который ранее считался «безопасным» исключительно в силу своего возраста и широкого распространения.