Маркус Хатчинс (MalwareTech), тот самый, что остановил эпидемию WannaCry, пишет: Признаюсь честно: в разработке эксплойтов я середнячок. Но я знаком с достаточным количеством по-настоящему сильных эксплоитописателей, чтобы утверждать наверняка. Любой, кто заявляет, что «легко» сгенерировал рабочий эксплойт php2shell с помощью ИИ, — это либо: а) эксплойтер мирового уровня с тяжёлой формой синдрома самозванца; б) человек, который прямо сейчас смотрит на очень уверенный, но неверный ответ LLM. Я почти уверен, что второе: слишком много сгаллюцинированных ИИ эксплойтов я видел на GitHub. Атакующие тоже вовсю долбят мою сеть ханипотов «эксплойтами php2shell». Они не просто не работают, а не имеют ничего общего с тем, как устроена реальная уязвимость. Технику с прикреплённого скриншота я видел в нескольких якобы «эксплойтах php2shell», включая репозиторий на GitHub с сотней с лишним звёзд. Проблема в том, что это не php2shell и вообще не уязвимость. Это техника session poisoning («отравление сессии»). С её помощью эксплуатируют уязвимости локального включения файлов (LFI) в PHP-приложениях, а не в самом PHP. С CVE-2026-109618/CVE-2026- 109619 её роднит только одно: обе используют механизм PHP_SESSION_UPLOAD_PROGRESS.И среди рекомендаций по защите от CVE-2026-109619 есть отключение session.upload_progress.enabled. Люди скармливают LLM обрывки сведений об уязвимости. Модель цепляется за строку PHP_SESSION_UPLOAD_PROGRESS и выдаёт код session poisoning, не имеющий к CVE никакого отношения. Авторы совершенно не понимают, что делают, поэтому им хватает уверенности выложить свой «proof of concept» на GitHub и разослать по соцсетям. Так что если видите разговоры про «session poisoning + LFI», скорее всего, чья-то LLM сгаллюцинировала эксплойт по мотивам разбора Orange Tsai 2018 года про вектор атаки через локальное включение файлов. Хуже того, «исследователи безопасности» затем разбирают эти попытки эксплуатации тоже с помощью LLM. Они попадаются на те же галлюцинации и подтверждают, что идёт массовая эксплуатация. Её сейчас нет. Реальную уязвимость эксплуатировать очень сложно. Пока я не видел, чтобы кому-то удалось заставить её работать больше чем на нескольких версиях PHP с очень специфической конфигурацией. LLM — полезный инструмент в руках опытных профессионалов. Для остальных это часто просто ускоритель эффекта Даннинга–Крюгера. P.S. (мой). В этой связи очень интересно смотреть на заявления некоторых компаний о том, что они «разобрались как работают уязвимости» и сделали защиту от этого ещё до публикации патча. @gostev_future