Didžiausios PHP pažeidžiamybės išnaudotos dar prieš viešą atskleidimą, sukeliant pasaulines saugumo aliarmas

Vaizdas: Ars Technica · Šaltinis

Kritinės PHP saugumo spragos, atrastos naudojant dirbtinį intelektą, buvo išnaudotos įsilaužėlių kelias dienas prieš viešą jų atskleidimą. Didžiausios debesijos ir valstybės institucijos ragina nedelsiant taikyti pataisas arba išjungti sistemas siekiant užkirsti kelią plataus masto interneto atakoms.

2026 m. spalio 22 d. pasauliniai kibernetinio saugumo įspėjimai sustiprėjo po rimtų PHP pažeidžiamybių, pagrindinės programavimo kalbos, kuri valdo apie 70 % pasaulio svetainių, aptikimo ir išnaudojimo. Didžiausias debesijos kompiuterijos tiekėjas pasaulyje – „Amazon“ – atskleidė, kad įsilaužėliai pradėjo tyrinėti šias PHP saugumo spragas keturias dienas prieš viešą jų egzistavimo paviešinimą. Šios pažeidžiamybės, pavadintos PHP2Shell, buvo nustatytos pasitelkus „OpenAI“ ir „Google“ sukurtus dirbtinio intelekto modelius, atskleidžiant reikšmingą dirbtinio intelekto ir kibernetinio saugumo susikirtimą.

PHP pažeidžiamybės, nepastebėtos daugiau nei dešimtmetį, leidžia atakotojams turėti tiesioginę prieigą prie serverių failų sistemų ar duomenų bazių be slaptažodžių, efektyviai suteikiant pilną kontroliuojamų interneto serverių valdymą. Pripažinus kritinę grėsmę, JAV Nacionalinė saugumo agentūra (NSA), Jungtinės Karalystės Nacionalinis kibernetinio saugumo centras (NCSC) ir kitos institucijos išleido skubias rekomendacijas nedelsiant taikyti pataisas arba, jei tai neįmanoma, laikinai išjungti paveiktas sistemas siekiant užkirsti kelią išnaudojimui.

Kibernetinio saugumo įmonių „Calif“ ir „Wiz“ (pastarąją valdo „Alphabet“) tyrėjai bendradarbiavo su „OpenAI“ ir PHP kūrėjų komanda, patvirtino pažeidžiamybes ir paskelbimo dieną išleido saugumo pataisas. „OpenAI“ nurodė, kad šios klaidos yra „vienos įtakingiausių saugumo problemų per pastarąjį laiką“ dėl plačios PHP naudojimo, ypač per tokias platformas kaip „WordPress“, stipriai priklausančias nuo šios programavimo kalbos.

NSA pabrėžė šių pažeidžiamybių grėsmingumą, įspėdama, kad jos dažnai suteikia tiesioginį priėjimą prie svarbių backend sistemų. Po šio pranešimo kai kurios Europos vyriausybės pranešė, kad išjungė svetaines, kol taikė saugumo atnaujinimus. Baltieji rūmai taip pat nurodė, jog federalinės agentūros vertina pažeidžiamybių poveikį vyriausybės ir kritinės infrastruktūros sistemoms.

Šis incidentas pabrėžia dvipusę dirbtinio intelekto rolę kibernetiniame saugume: nors DI padėjo aptikti spragas anksčiau nei įsilaužėliai, ta pati technologija gali pagreitinti sudėtingų įsilaužimo įrankių kūrimą. Šis įvykis sustiprino raginimus tiek viešajame, tiek privačiame sektoriuose aktyviai taikyti griežtą kibernetinį saugumą ir greitinti pataisų diegimą, ypač plačiai naudojamose interneto technologijose.

Organizacijoms visame pasaulyje skubant atnaujinti PHP įrenginius, ši situacija yra aiškus priminimas apie saugumo rizikas, giliai įsišaknijusias interneto infrastruktūroje, ir DI transformacinį potencialą nustatant bei reaguojant į tokias grėsmes.