Промпт для ИИ нашёл баг в WordPress, за который брокеры платят $500 000

Шесть поддельных постов WordPress и одна подделанная учётная запись администратора

Адам Кюс, исследователь из Searchlight Cyber, запустил промпт, изначально созданный OpenAI для решения олимпиадных задач по математике, на модели, которую называет «Sol» — по его словам, часть линейки GPT-5.6, — и направил её на сырой код WordPress без каких-либо иных подсказок. Построенная цепочка проходит через девять разных особенностей REST-эндпоинта для батч-запросов WordPress — функции, добавленной ещё в WordPress 5.6.

Эндпоинт проверяет и исполняет пакет запросов в два отдельных прохода; спровоцированная ошибка рассинхронизирует эти два прохода, поэтому запрос, прошедший проверку, во время исполнения попадает уже к другому обработчику. Эта щель открывает непроверяемый параметр author__not_in, который напрямую попадает в сырой SQL-запрос: полезная нагрузка "0) OR 1=1 -- " доказывает, что инъекция возможна. Затем модель рекурсивно вложила батч-вызовы друг в друга, чтобы обойти ограничение только на GET-запросы, и с помощью UNION-инъекции подложила шесть поддельных постов с метками O, C, P, D, S и T прямо в кэш объектов WordPress в памяти. Встраивание одного из них переводит его из этого временного кэша в постоянную запись базы данных. Дальше поддельный пост customize_changeset — механизм WordPress для хранения черновиков изменений темы в формате JSON — исполняется с правами администратора благодаря тому, как собственная логика WordPress для обнаружения циклов повторно обрабатывает родительские посты. Последний поддельный пост несёт статус parse и тип request; его создание запускает хук parse_request и повторяет весь исходный батч-вызов — на этот раз уже от имени администратора. Этот повтор создаёт настоящую учётную запись администратора, а дальше WordPress выполнит любой код из загруженного плагина.

Вывод самого Кюса: «Ни один исследователь безопасности не смог бы найти и завершить эту цепочку эксплойта за 10 часов без ИИ». Преимущество модели, по его мнению, в том, что она удерживала в уме девять не связанных друг с другом «гаджетов», разбросанных по огромной кодовой базе. Он ожидает, что исследование уязвимостей сместится в сторону выбора цели и составления промптов, а техническую сборку возьмёт на себя модель.

Более простой обход цепочки и чек, который никто не может предъявить

На Hacker News реакция разделилась между тревогой из-за того, что теперь так дёшево может сделать промпт для ИИ, и скепсисом по поводу конкретных цифр в статье.

Один читатель, который говорит, что уже использовал LLM для побегов из контейнеров через баги повышения привилегий в Linux, поднял другой вопрос:

«По моему опыту, GPT-5.5 и новее не любит работу с наступательной безопасностью... Полагаю, у авторов есть какое-то согласование с OpenAI, чтобы немного ослабить ограничители». — инженер, который говорит, что строил побеги из контейнеров через LPE-баги Linux с помощью LLM

Другой читатель разобрал опубликованную цепочку эксплойта изнутри:

«Зачем нужны шаги в середине цепочки?... если у вас есть SQL-инъекция, почему нельзя сразу создать учётку администратора, вставив её в таблицу пользователей?» — комментатор на HN

Третий читатель зацепился за другую деталь:

«Нет никаких доказательств, что за такой эксплойт когда-либо платили или заплатили бы $500 тысяч». — читатель, проследивший авторство до Assetnote, конкурирующего ИИ-сканера уязвимостей

Ни сам материал, ни тред так и не прояснили, залатан ли баг на самом деле и когда о нём сообщили WordPress.

Если модель способна удержать в голове девять не связанных друг с другом особенностей WordPress одновременно, дефицитным навыком в поиске багов перестаёт быть само написание эксплойта — им становится решение, какая именно необъятная, невзрачная кодовая база заслуживает такого внимания.