There isn't an easy exploit for this PHP vulnerability
Вокруг новой уязвимости в PHP раздули панику, но лёгкого эксплойта для неё не существует. Баг реальный и важный, однако он далеко не так прост в использовании, как Log4Shell, Heartbleed или декодирование YAML в Ruby on Rails. На GitHub уже тысячи «PoC», но ни один не работает против чистой установки PHP — автор призывает поднять сервер в Docker и запустить скрипт руками, а не через языковую модель: эксплойты просто не срабатывают.
Причина в том, что почти все поддельные «доказательства» опираются на локальное включение файлов (LFI) — по сути, требуют, чтобы сервер уже выполнял eval(read(файл_от_пользователя)). Это абсурдное предварительное условие: если для атаки нужна существующая уязвимость, позволяющая прочитать /etc/passwd, то баг не тянет на критический. Прошло уже больше десяти часов, на него смотрят полмира и сотни тысяч «сверхразумов», но рабочего эксплойта нет — в отличие от Log4Shell, где ботнеты появлялись мгновенно, ещё до эры ИИ.
Корень проблемы — слепая вера в LLM: люди, не понимающие цепочек use-after-free, уверены, что «Клод всё знает и сделает эксплойт». В итоге модель выдаёт младшему брату отключённый геймпад — на экране написано «эксплойт», есть убедительные логи, но сама модель заранее добавила серверу серьёзную уязвимость. Отсюда и странная одинаковость ошибок: ИИ стал главным «принимающим решения», порождая причудливые «точки Шеллинга» в решениях. Паника подогревалась заявлением члена команды PHP о «катастрофе», всеобщим недоверием к безопасности PHP, видео с аниме-девочкой и ощущением, что LLM нависают над интернетом. Но это не момент Log4J.