OpenAI опубликовала на GitHub репозиторий php2shell-checker. Это инструмент, который помогает владельцам сайтов выяснить, затронуты ли они критическими уязвимостями в PHP. В тот же день, 21 октября 2026 года, разработчики PHP выпустили экстренные обновления, закрывающие две уязвимости с удалённым выполнением кода.
Что внутри репозитория
Набор состоит из Node.js-скрипта и двух навыков (skills) для Codex, ИИ-агента OpenAI для работы с кодом. Каждый навык рассчитан на свой сценарий:
-
phpcheck-url проверяет сайт по URL: читает заголовки X-Powered-By и Server, из которых можно определить версию PHP;
-
phpcheck-server работает там, где есть доступ к серверу: смотрит вывод команды php -v и версии пакетов операционной системы.
Найденную версию PHP инструмент сравнивает с порогами исправленных релизов и выдаёт один из трёх вердиктов:
-
OK — версия содержит исправление;
-
POTENTIALLY VULNERABLE — версия попадает под уязвимость;
-
UNKNOWN — версию определить не удалось, и это не означает, что сайт защищён.
У инструмента есть ограничения. Он не пытается взломать сайт и не проверяет, есть ли в конкретном дистрибутиве бэкпорты — исправления, перенесённые в старые версии пакетов без смены номера версии. Из-за этого результат стоит воспринимать как первичную оценку, а не как окончательный диагноз.
Запустить проверку можно через команду для Codex: достаточно попросить агента установить оба навыка из репозитория. Официальный аккаунт OpenAI в соцсети X написал, что компания упаковала навык Codex, чтобы помочь с проверкой, и предложила направить агента на репозиторий, который проведёт через процесс. Публикация набрала более 1,4 млн просмотров. К 22–23 октября у репозитория было около 800–850 звёзд и порядка 80–85 форков.
Роль OpenAI в поиске уязвимостей
Отдельно компания заявила в официальной публикации на своём сайте, что её модели помогли исследователям обнаружить критические уязвимости в PHP. Работа шла в рамках инициативы Patch the Planet. PHP лежит в основе примерно 70% сайтов, поэтому масштаб потенциальной проблемы огромен.
В течение двух месяцев OpenAI координировала коалицию из сопровождающих проекта, исследователей и поставщиков решений для безопасности, чтобы подготовить исправления до публичного раскрытия. Именно в этой публикации компания назвала навык для Codex способом проверить, затронут ли конкретный сайт.
Реакция в соцсети X
Пользователи соцсети X отнеслись к инициативе в с одобрением. Автор рассылки Шейн Боли (Shane to the B), написавший книгу Make Winning Inevitable, написал, что модель, которая помогла найти баг в PHP, теперь сама проверяет сайты на его наличие, — «полный сервис».
Японский автор рассылки об ИИ Тэцумэмо (テツメモ) отметил скорость, с которой OpenAI не только нашла уязвимость, но и выдала готовое средство проверки. Он пересказал инструкцию по установке обоих навыков одной командой и подчеркнул, что вердикт UNKNOWN не означает безопасность сайта.
Марк Кречманн (Mark Kretschmann), автор новостей об ИИ и технологиях, обратил внимание, что Codex теперь умеет проверять сайты на проблемы безопасности PHP, и посоветовал воспользоваться навыком.
Мнение ИИ
С точки зрения машинного анализа данных, у проверки по заголовкам есть технический потолок: утилита читает только поля X-Powered-By и Server, а администраторы могут их скрывать. Тогда вердикт UNKNOWN станет нормой, а не исключением. Сканер без эксплойта — градусник, а не лекарство.
▼
Самые интересные и важные новости на нашем канале в Telegram