Mākslīgais intelekts atklāj kritiskas gadu desmitiem senas PHP ievainojamības, izraisot steidzīgu globālu tīmekļa drošības reakciju

Attēls: TechCrunch · Avots

OpenAI un Google mākslīgā intelekta darbinātie rīki ir identificējuši nopietnas PHP drošības nepilnības, kas pastāv kopš 2004. gada, izraisot koordinētu atbildi, kurā iesaistītas lielas tehnoloģiju kompānijas un NSA steidzamas atjaunināšanas vadlīnijas, lai aizsargātu miljoniem mājaslapu.

2026. gada 21. oktobrī Amerikas Savienoto Valstu Nacionālā drošības aģentūra (NSA) izdeva nopietnu brīdinājumu par divām kritiskām drošības ievainojamībām PHP — dominējošajā servera puses programmēšanas valodā, kas atbalsta aptuveni 70% no pasaules mājaslapām, tostarp daudzas populāras satura vadības sistēmas, piemēram, WordPress. Šīs ievainojamības ļauj uzbrucējiem piekļūt skartā tīmekļa servera failu sistēmai vai datu bāzēm un tās datētas ar PHP versiju 5, kas tika izlaista 2004. gadā, nozīmējot, ka neskaitāmas vietnes potenciāli bija pakļautas apdraudējumam gandrīz divdesmit gadus.

PHP fonds jau ir izdevis labojumus šo nepilnību novēršanai, un NSA stingri iesaka jebkurai vietnei, kas nespēj nekavējoties piemērot šos atjauninājumus, tikt noņemtai no interneta, lai novērstu ļaunprātīgu izmantošanu. Būtiski, ka versijas, kas ir vecākas par PHP 8.1, vairs netiek atbalstītas, tāpēc ir būtiski jaunināt uz PHP 8.5.12 vai jaunāku drošībai.

Svarīgi ir tas, ka šīs ilgstošās ievainojamības atklāja mākslīgais intelekts. OpenAI iniciatīva "Patch the Planet", izmantojot savu GPT-5.6 Sol modeli, atklāja vienu no šīm nepilnībām. Vienlaikus drošības kompānija Wiz izmantoja savus mākslīgā intelekta rīkus, tostarp Wiz Atlas drošības AI aģentu, Gemini 4 Argon un GPT-5.6 Sol, lai identificētu vairākas papildu ievainojamības PHP.

Gan OpenAI, gan Wiz ievēroja atbildīgas atklāšanas protokolus, cieši sadarbojoties ar PHP fondu, lai izstrādātu un pārbaudītu labojumus pirms publiskas paziņošanas. Šis centiens paplašinājās plašā koalīcijā, kurā piedalījās tehnoloģiju līderi, piemēram, Automattic, Akamai, AWS, Cloudflare, Fastly, Imperva, Microsoft un Vercel, nodrošinot ātru atrisinājumu novērtēšanu un izplatīšanu. Lai gan WordPress vietnes izmanto PHP, WordPress pats precizēja, ka šīs ievainojamības nav specifiskas tieši tā satura vadības sistēmai un aicināja lietotājus sadarboties ar hostinga pakalpojumu sniedzējiem, lai nodrošinātu savu instalāciju drošību.

OpenAI uzsvēra, ka šīs kļūdas tika atklātas pirms jebkādas zināmas ļaunprātīgas izmantošanas, ko, visticamāk, ļāva iepriekšējās grūtības šādu dziļu problēmu atpazīšanā un izmantošanā. Tomēr Wiz brīdināja, ka lielo valodu modeļu parādīšanās samazina šķēršļus uzbrucējiem pielāgot exploitus dažādām PHP versijām un konfigurācijām, būtiski palielinot risku.

Tādējādi šis notikums ilustrē mākslīgā intelekta paradoksu kiberdrošībā: tas ir bijis būtisks augsta riska ievainojamību atklāšanā un novēršanā, bet vienlaikus samazina laiku starp ievainojamību publiskošanu un ļaunprātīgu izmantošanu. Globālās interneta ekosistēmas galvenais izaicinājums ir ātri uzlikt labojumus desmitiem miljonu PHP darbinātu vietņu, lai novērstu iespējamos uzbrukumus. NSA īstenotā prasība pēc nekavējošas rīcības vai pagaidu vietnes noņemšanas uzsver šī kritiskā drošības incidenta steidzamību.