На днях исследователи обнаружили две критические уязвимости PHP2Shell в PHP - языке программирования, который используется примерно на 90% сайтов в России. По данным OpenAI, одна из ошибок оставалась незамеченной 14 лет, однако с помощью ИИ-моделей и агентов ее удалось обнаружить за несколько недель. Наибольшие сложности с устранением подобных уязвимостей могут возникнуть у интернет-магазинов с устаревшими системами, обновление которых требует существенной переработки программного обеспечения. Основатель и генеральный директор Nodul Александр Данилов рассказывает, насколько серьёзна эта проблема для магазинов, кто пострадает и сколько времени понадобится для того, чтобы исправить бреши.
Для небольших и средних интернет-магазинов основной риск связан с использованием устаревших версий PHP и отсутствием отлаженных процессов обновления. По отдельным оценкам, около половины сайтов на PHP работают на версиях, официальная поддержка которых уже прекращена. Их обновление может потребовать не просто установки исправлений, а переработки приложений, занимающей месяцы. У крупных интернет-магазинов и маркетплейсов дополнительные сложности связаны с количеством сервисов, интеграций и подрядчиков, из-за чего выявление всех уязвимых компонентов может занимать больше времени.
Сроки устранения уязвимостей могут различаться от нескольких часов до нескольких месяцев. Интернет-магазины с автоматизированными процессами обновления способны устанавливать исправления за часы, компаниям с ручным управлением обновлениями могут потребоваться дни, а владельцам устаревших систем - месяцы.
Обнаруженные ошибки опасны тем, что находятся в самом PHP, а не в конкретных приложениях. Поэтому под угрозой могут оказаться интернет-магазины на разных платформах, включая WordPress и "1С-Битрикс". Официальные исправления вышли только для PHP 8.2-8.5. "1С-Битрикс" с февраля 2026 года требует PHP 8.2. Самая уязвимая группа - сайты с истекшей лицензией на обновления, продолжающие работать на PHP 7.0 или 8.0-8.1. Полноценное устранение уязвимостей требует обновления программного обеспечения.
Другая критическая уязвимость, обнаруженная с помощью ИИ, - Node2Shell в Node.js. Она связана с обработкой сжатых данных и может затрагивать не только публичные сайты, но и корпоративные интеграции и сервисы, обращающиеся к внешним API. Для электронной коммерции это особенно актуально из-за большого количества подключенных систем: оплаты, доставки, учета товаров и взаимодействия с внешними площадками. Для неподдерживаемых версий программного обеспечения устранение подобных ошибок также может потребовать перехода на более современные системы.
ИИ существенно ускорил поиск уязвимостей, но не их устранение. Исследователи могут обнаружить ошибку за несколько недель, а злоумышленники - начать массовые атаки в течение нескольких часов после раскрытия информации. При этом интернет-магазинам по-прежнему нужны дни или месяцы, чтобы обновить устаревшие системы. Поэтому главным фактором становится не только наличие средств защиты, но и способность компании быстро находить уязвимые компоненты и устанавливать исправления.
Для снижения рисков интернет-магазинам необходимо вести учет используемых версий программного обеспечения и его зависимостей, автоматизировать обновления и заранее планировать модернизацию устаревших систем. По мере распространения ИИ-инструментов для поиска уязвимостей скорость реагирования становится одним из ключевых факторов кибербезопасности электронной коммерции.