«Полный сервис»: OpenAI помогла найти уязвимости PHP, а теперь помогает проверить серверы

OpenAI опубликовала на GitHub репозиторий php2shell-checker. Это инструмент, который помогает владельцам сайтов выяснить, затронуты ли они критическими уязвимостями в PHP. В тот же день, 21 октября 2026 года, разработчики PHP выпустили экстренные обновления, закрывающие две уязвимости с удалённым выполнением кода.

Что внутри репозитория

Набор состоит из Node.js-скрипта и двух навыков (skills) для Codex, ИИ-агента OpenAI для работы с кодом. Каждый навык рассчитан на свой сценарий:

• phpcheck-url проверяет сайт по URL: читает заголовки X-Powered-By и Server, из которых можно определить версию PHP;

• phpcheck-server работает там, где есть доступ к серверу: смотрит вывод команды php -v и версии пакетов операционной системы.

Будьте в курсе
движения ваших монет

Алерты, котировки в реальном времени и новости рынка — в одном приложении

Наведите камеру телефона, чтобы установить

4,8 на основе 40 К оценок в App Store и Google Play

Найденную версию PHP инструмент сравнивает с порогами исправленных релизов и выдаёт один из трёх вердиктов:

• OK — версия содержит исправление;

• POTENTIALLY VULNERABLE — версия попадает под уязвимость;

• UNKNOWN — версию определить не удалось, и это не означает, что сайт защищён.

У инструмента есть ограничения. Он не пытается взломать сайт и не проверяет, есть ли в конкретном дистрибутиве бэкпорты — исправления, перенесённые в старые версии пакетов без смены номера версии. Из-за этого результат стоит воспринимать как первичную оценку, а не как окончательный диагноз.

Запустить проверку можно через команду для Codex: достаточно попросить агента установить оба навыка из репозитория. Официальный аккаунт OpenAI в соцсети X написал, что компания упаковала навык Codex, чтобы помочь с проверкой, и предложила направить агента на репозиторий, который проведёт через процесс. Публикация набрала более 1,4 млн просмотров. К 22–23 октября у репозитория было около 800–850 звёзд и порядка 80–85 форков.

Роль OpenAI в поиске уязвимостей

Отдельно компания заявила в официальной публикации на своём сайте, что её модели помогли исследователям обнаружить критические уязвимости в PHP. Работа шла в рамках инициативы Patch the Planet. PHP лежит в основе примерно 70% сайтов, поэтому масштаб потенциальной проблемы огромен.

В течение двух месяцев OpenAI координировала коалицию из сопровождающих проекта, исследователей и поставщиков решений для безопасности, чтобы подготовить исправления до публичного раскрытия. Именно в этой публикации компания назвала навык для Codex способом проверить, затронут ли конкретный сайт.

Реакция в соцсети X

Пользователи соцсети X отнеслись к инициативе в с одобрением. Автор рассылки Шейн Боли (Shane to the B), написавший книгу Make Winning Inevitable, написал, что модель, которая помогла найти баг в PHP, теперь сама проверяет сайты на его наличие, — «полный сервис».

Японский автор рассылки об ИИ Тэцумэмо (テツメモ) отметил скорость, с которой OpenAI не только нашла уязвимость, но и выдала готовое средство проверки. Он пересказал инструкцию по установке обоих навыков одной командой и подчеркнул, что вердикт UNKNOWN не означает безопасность сайта.

Марк Кречманн (Mark Kretschmann), автор новостей об ИИ и технологиях, обратил внимание, что Codex теперь умеет проверять сайты на проблемы безопасности PHP, и посоветовал воспользоваться навыком.

Мнение ИИ

С точки зрения машинного анализа данных, у проверки по заголовкам есть технический потолок: утилита читает только поля X-Powered-By и Server, а администраторы могут их скрывать. Тогда вердикт UNKNOWN станет нормой, а не исключением. Сканер без эксплойта — градусник, а не лекарство.

Источник