Tekoäly paljastaa kriittiset vuosikymmeniä vanhat PHP-haavoittuvuudet, aiheuttaen kiireellisen maailmanlaajuisen verkkoturvallisuusreaktion

Kuva: TechCrunch · Lähde

OpenAI:n ja Googlen tekoälytyökalut ovat tunnistaneet vakavia PHP:n tietoturva-aukkoja, jotka ovat olleet olemassa vuodesta 2004 lähtien, minkä seurauksena merkittävät teknologiayritykset ovat reagoineet yhteistyössä ja NSA on antanut kiireellisiä ohjeita korjauspäivitysten tekemiseksi miljoonien verkkosivustojen suojaamiseksi.

21. lokakuuta 2026 Yhdysvaltain Kansallinen turvallisuusvirasto (NSA) antoi vakavan varoituksen kahdesta kriittisestä tietoturvahaavoittuvuudesta PHP:ssä, suosituimmassa palvelinpuolen ohjelmointikielessä, joka tukee noin 70 % maailman verkkosivustoista, mukaan lukien monet suosittuja sisällönhallintajärjestelmiä, kuten WordPressiä, käyttävät sivustot. Haavoittuvuudet, jotka mahdollistavat hyökkääjien pääsyn verkkopalvelinten tiedostojärjestelmiin tai tietokantoihin, juontavat juurensa PHP-version 5 julkaisuun vuonna 2004, mikä tarkoittaa että lukemattomat sivustot ovat voineet olla alttiina riskille lähes kaksi vuosikymmentä.

PHP-säätiö on jo julkaissut korjauspäivitykset näihin haavoittuvuuksiin, ja NSA suosittelee vahvasti, että sivustot, jotka eivät pysty heti soveltamaan näitä päivityksiä, olisi otettava pois käytöstä hyväksikäytön estämiseksi. Huomionarvoista on, että alle PHP 8.1 -versioita ei enää tueta, minkä vuoksi päivitys versioon PHP 8.5.12 tai uudempaan on olennainen turvallisuuden kannalta.

Keskeisesti nämä pitkään piileksineet haavoittuvuudet paljastuivat tekoälyn kehityksen ansiosta. OpenAI:n aloitteessa "Patch the Planet", jossa hyödynnettiin GPT-5.6 Sol -mallia, löydettiin yksi tällainen haavoittuvuus. Samanaikaisesti turvallisuusyritys Wiz käytti tekoälypohjaisia työkalujaan, mukaan lukien Wiz Atlas -turvallisuusagenttia, Gemini 4 Argonia sekä GPT-5.6 Sol -mallia, tunnistaakseen useita muita PHP:n haavoittuvuuksia.

Sekä OpenAI että Wiz noudattivat vastuullisen tiedonjulkaisun protokollia, työskennellen tiiviisti PHP-säätiön kanssa kehittääkseen ja validoidakseen korjaukset ennen julkistusta. Ponnistus laajeni laajaksi koalitioksi, johon osallistui teknologiajättejä kuten Automattic, Akamai, AWS, Cloudflare, Fastly, Imperva, Microsoft ja Vercel, varmistaen korjausten nopean arvioinnin ja levityksen. Vaikka WordPress-sivustot käyttävät PHP:tä, WordPress itse selvensi, etteivät haavoittuvuudet ole erityisiä heidän sisällönhallintajärjestelmälleen, ja kehotti käyttäjiä työskentelemään hosting-palveluntarjoajien kanssa turvatakseen asennuksensa.

OpenAI korosti, että nämä virheet löydettiin tutkijoiden toimesta ennen kuin yksikään tunnettu hakkeri oli niitä hyödyntänyt, mikä tarjosi mahdollisuuden puolustautua. Kuitenkin Wiz varoitti, että suurten kielimallien kehittyminen madaltaa hyökkääjien kynnystä soveltaa hyökkäyksiä eri PHP-versioissa ja kokoonpanoissa, mikä tehokkaasti kasvattaa riskitasoa.

Näin ollen tämä tapaus kuvastaa tekoälyn roolin paradoksia kyberturvallisuudessa: se on ollut ratkaiseva korkean riskin haavoittuvuuksien havaitsemisessa ja niiden estämisessä, mutta samalla se lyhentää aikaa haavoittuvuuksien paljastamisen ja hyödyntämisen välillä haitallisten toimijoiden keskuudessa. Maailmanlaajuisen internet-ekosysteemin jatkuva haaste on päivittää kymmeniä miljoonia PHP:tä käyttävistä sivustoista nopeasti ja estää mahdolliset hyökkäykset. NSA:n vaatimus välittömästä toiminnasta tai tilapäisestä sivustojen poistamisesta korostaa tämän kriittisen tietoturvatapahtuman kiireellisyyttä.