DI atrado kritines dešimtmečius senas PHP pažeidžiamumas, skatindamas skubią pasaulinę interneto saugumo reakciją

Vaizdas: TechCrunch · Šaltinis

OpenAI ir „Google“ DI varomos priemonės nustatė rimtus PHP saugumo trūkumus, egzistuojančius nuo 2004 metų, dėl ko suaktyvinta koordinuota reakcija su pagrindinėmis technologijų įmonėmis ir NSA nurodymai skubiai taikyti pataisas, saugant milijonus svetainių.

2026 m. spalio 21 d. Jungtinių Amerikos Valstijų Nacionalinė saugumo agentūra (NSA) išleido griežtą įspėjimą dėl dviejų kritinių saugumo pažeidžiamumų PHP programavimo kalboje – pagrindinėje serverio pusės kalboje, kuria paremta apie 70 % pasaulio interneto svetainių, įskaitant daug populiarių turinio valdymo sistemų, tokių kaip WordPress. Šie pažeidžiamumai leidžia kenkėjiškam veikėjui pasiekti paveiktų interneto serverių failų sistemas arba duomenų bazes, o jų šaknys siekia PHP 5 versiją, išleistą 2004 metais, tad daugybė svetainių galėjo būti pažeidžiamos beveik du dešimtmečius.

PHP fondas jau išleido pataisas, sprendžiančias šias spragas, o NSA ryžtingai rekomenduoja visoms svetainėms, negalinčioms nedelsiant įdiegti atnaujinimų, būti laikinai išjungtoms, siekiant užkirsti kelią išnaudojimui. Svarbu pažymėti, kad PHP versijos, senesnės nei 8.1, nebėra palaikomos, todėl būtinas atnaujinimas į PHP 8.5.12 ar naujesnę versiją dėl saugumo.

Šie ilgalaikiai pažeidžiamumai buvo atskleisti dėka dirbtinio intelekto pažangos. OpenAI iniciatyva „Patch the Planet“, pasitelkusi jų GPT-5.6 Sol modelį, rado vieną tokią spragą. Tuo tarpu saugumo bendrovė Wiz naudojo DI pagrįstas priemones, įskaitant Wiz Atlas saugumo DI agentą, Gemini 4 Argon ir GPT-5.6 Sol, kad identifikuotų kelis papildomus PHP pažeidžiamumus.

OpenAI ir Wiz laikėsi atsakingo informavimo protokolų, glaudžiai bendradarbiaudami su PHP fondu, siekdami kurti ir patvirtinti pataisas prieš viešą pranešimą. Ši pastanga išsiplėtė į platų koaliciją, kurioje dalyvavo technologijų lyderiai kaip Automattic, Akamai, AWS, Cloudflare, Fastly, Imperva, Microsoft ir Vercel, siekiant greitai įvertinti ir išplatinti pataisas. Nors WordPress svetainėse naudojamas PHP, pati WordPress aiškino, jog pažeidžiamumai nėra specifiniai jos turinio valdymo sistemai ir ragino naudotojus bendradarbiauti su prieglobos paslaugų tiekėjais, kad užtikrintų savo diegimų saugumą.

OpenAI pabrėžė, jog šios klaidos buvo atrastos tyrėjų dar prieš bet kokį žinomą programišių išnaudojimą, o tai suteikė galimybę imtis veiksmų. Visgi Wiz perspėjo, kad didelių kalbos modelių atsiradimas sumažina kliūtis kenkėjams adaptuoti išnaudojimus įvairioms PHP versijoms ir konfigūracijoms, dėl to didėja rizika.

Taigi ši situacija atspindi dirbtinio intelekto vaidmens saugumo srityje paradoksą: DI padėjo identifikuoti ir užkirsti kelią aukšto lygio pažeidžiamumams, tačiau tuo pačiu sutrumpina laikotarpį tarp spragos paskelbimo ir jos išnaudojimo kenkėjiškų veikėjų. Pasaulinės interneto ekosistemos iššūkis – kuo greičiau atnaujinti milijonus PHP varomų svetainių, kad būtų sustabdyti galimi atakų bandymai. NSA pabrėžiamas būtinybė nedelsiant imtis veiksmų arba laikinai pašalinti tinklalapius iš interneto pabrėžia šio kritinio saugumo įvykio svarbą.