Гостев из будущего

Слона-то и не приметили В PHP нашли уязвимость. Само по себе это не новость: находили и раньше. Новость в том, что на этот раз её нашли все сразу. Прадедушку этого слона откопал ещё Стефан Эссер в 2004 году. В 2020-м некто jr прислал в баг-трекер скромный отчёт: длинные переменные, мол, съедают память, а временные файлы потом никто не убирает. Отчёт приняли к сведению. В 2024-м аудиторы OSTIF и Quarkslab нашли то же самое ещё раз, но доказать эксплуатацию не смогли, и баг остался жить. Жил он хорошо, никому не мешал. Летом 2026-го за слона взялись всерьёз. 1 августа его нашёл Calif, 5-го выложил в X хеш находки — нотариальное заверение по-хакерски, — а 11-го отправил отчёт в PHP. 19 августа слона нашёл Wiz. Независимо, через восемь дней. Бывает: великие умы ИИ мыслят одинаково, особенно в одном и том же коде. Дальше началось главное. Не баг, а слава. Calif назвал находку php2shell и нарисовал комикс. Wiz назвал свой эксплойт тоже php2shell, чтобы никто не перепутал, и повёл публику на сайт php2shell.com. Wiz объявил, что под ударом 70% интернета, сравнил находку с Heartbleed и Log4Shell, а потом, подумав, и со всей историей программного обеспечения. Calif в этом тексте тоже нашёлся — в благодарностях, где-то между PHP и OpenAI. Не остались в стороне и фронтир лабы. Calif работает в программе OpenAI. Wiz принадлежит Google и отдельно отметил неоценимый вклад Gemini. Так у слона появилось два отца и два научных руководителя. Финал вышел закономерным. Один исследователь, возмутившись захватом чужого имени, купил домен phpbleed.com — чтобы Wiz не успел первым. С захватом доменов теперь борются захватом доменов. Следующим шагом, видимо, станет регистрация имён для уязвимостей, которые ещё не нашли. Остаются те, кого в этой истории не благодарят на CNN. Это мейнтейнеры PHP: они получили отчёты об одном слоне от разных находчиков, разобрались, где чей, и выпустили патчи для четырёх веток. И jr из 2020 года, который увидел всё первым и жаловался всего лишь на неубранные файлы. Слон, между прочим, жил в коде с версии 5.4. Его не нашли — его наконец заметили. Причём все сразу, и каждый — первым. @gostev_future