AI wykrywa krytyczne, mające dziesięciolecia luki w PHP, wywołując pilną, globalną reakcję na bezpieczeństwo sieci

Image: TechCrunch · Source

Narzędzia AI OpenAI i Google zidentyfikowały poważne luki w zabezpieczeniach PHP obecne od 2004 roku, co doprowadziło do skoordynowanej reakcji z udziałem głównych firm technologicznych oraz pilnych wskazówek dotyczących poprawek od NSA, mających na celu ochronę milionów witryn internetowych.

21 października 2026 roku Agencja Bezpieczeństwa Narodowego Stanów Zjednoczonych (NSA) wydała poważne ostrzeżenie dotyczące dwóch krytycznych luk w zabezpieczeniach odkrytych w PHP, dominującym języku programowania po stronie serwera, na którym opiera się około 70% stron internetowych na świecie — w tym wiele działających na popularnych systemach zarządzania treścią takich jak WordPress. Luki te, które umożliwiają atakującym dostęp do systemu plików lub baz danych zaatakowanych serwerów, sięgają wersji PHP 5 wydanej w 2004 roku, co oznacza, że niezliczone witryny mogły być potencjalnie narażone na atak przez niemal dwie dekady.

Fundacja PHP już wydała poprawki usuwające te błędy, z mocnym zaleceniem NSA, by każda witryna, która nie jest w stanie natychmiast zastosować tych aktualizacji, została tymczasowo wyłączona, aby zapobiec wykorzystaniu luk. Warto zauważyć, że wersje starsze niż PHP 8.1 nie są już wspierane, dlatego aktualizacja do PHP 8.5.12 lub nowszej jest niezbędna dla bezpieczeństwa.

Kluczowo, te długo istniejące luki zostały ujawnione dzięki postępom w sztucznej inteligencji. Inicjatywa OpenAI „Patch the Planet”, wykorzystująca model GPT-5.6 Sol, odkryła jedną z takich luk. Równocześnie firma bezpieczeństwa Wiz użyła swoich narzędzi AI, w tym agenta bezpieczeństwa Wiz Atlas, Gemini 4 Argon oraz GPT-5.6 Sol, aby zidentyfikować dodatkowo kilka innych luk w PHP.

OpenAI i Wiz przestrzegały odpowiednich protokołów odpowiedzialnego ujawniania podatności, ściśle współpracując z Fundacją PHP w celu opracowania i zatwierdzenia poprawek przed publicznym ogłoszeniem. Wysiłek rozwinął się w szeroką koalicję z udziałem liderów branży technologicznej takich jak Automattic, Akamai, AWS, Cloudflare, Fastly, Imperva, Microsoft oraz Vercel, zapewniając szybkie ocenianie i dystrybucję łatek. Chociaż strony WordPress używają PHP, WordPress wyjaśnił, że luki nie dotyczą specyficznie ich systemu zarządzania treścią, apelując do użytkowników o współpracę z dostawcami hostingu w celu zabezpieczenia swoich instalacji.

OpenAI podkreśliło, że te defekty zostały wykryte przez badaczy zanim doszło do znanych przypadków wykorzystania przez hakerów, okres nadziei zapewne dzięki trudnościom w identyfikacji i eksploatacji tych głęboko zakorzenionych problemów. Jednak Wiz ostrzegł, że pojawienie się dużych modeli językowych obniża teraz bariery dla atakujących, ułatwiając przenoszenie exploitów na różne wersje i konfiguracje PHP, co skutecznie podnosi poziom ryzyka.

Dlatego to zdarzenie ilustruje paradoks roli AI w cyberbezpieczeństwie: odgrywała kluczową rolę w wykrywaniu i zapobieganiu wysokiego ryzyka luk, a jednocześnie skraca czas między ujawnieniem podatności a ich wykorzystaniem przez złośliwe podmioty. Trwającym wyzwaniem dla globalnego ekosystemu internetowego jest szybkie załatanie dziesiątek milionów stron opartych na PHP, by zapobiec potencjalnym atakom. Kategoryczne żądanie NSA natychmiastowego działania lub tymczasowego wyłączenia stron podkreśla pilność tego krytycznego incydentu bezpieczeństwa.