AI Avslöjar Kritiska PHP-sårbarheter som Varit Kvar i Decennier, Utlöser Akut Global Webbsäkerhetsinsats

Bild: TechCrunch · Källa

OpenAI och Googles AI-drivna verktyg har identifierat allvarliga PHP-säkerhetsbrister som funnits sedan 2004, vilket lett till en samordnad insats med stora teknikföretag och brådskande riktlinjer från NSA för att skydda miljontals webbplatser.

Den 21 oktober 2026 utfärdade USA:s National Security Agency (NSA) en allvarlig varning angående två kritiska säkerhetssårbarheter upptäckta i PHP, ett dominerande serverbaserat programmeringsspråk som driver omkring 70 % av världens webbplatser – inklusive många som kör populära content management system som WordPress. Sårbarheterna, som gör det möjligt för angripare att komma åt filsystem eller databaser på påverkade webbservrar, kan spåras tillbaka till PHP version 5 som släpptes 2004, vilket innebär att otaliga sajter potentiellt varit exponerade i nästan två decennier.

PHP Foundation har redan släppt uppdateringar som åtgärdar dessa brister, med ett starkt rekommendationsutlåtande från NSA om att webbplatser som inte omedelbart kan tillämpa dessa patchar bör tas offline för att förhindra att de utnyttjas. Noterbart är att versioner äldre än PHP 8.1 inte längre stöds, vilket gör en uppgradering till PHP 8.5.12 eller senare nödvändig för säkerheten.

Viktigt är att dessa långvariga sårbarheter uppdagades tack vare framsteg inom artificiell intelligens. OpenAIs initiativ "Patch the Planet," som utnyttjar deras GPT-5.6 Sol-modell, upptäckte en sådan brist. Samtidigt använde säkerhetsföretaget Wiz sina AI-drivna verktyg, inklusive säkerhetsagenten Wiz Atlas, Gemini 4 Argon och GPT-5.6 Sol, för att hitta flera ytterligare sårbarheter i PHP.

Både OpenAI och Wiz följde ansvarsfulla avslöjandeförfaranden och samarbetade nära med PHP Foundation för att utveckla och validera patchar före den offentliga tillkännagivelsen. Insatsen utvidgades till en bred koalition med teknikledare såsom Automattic, Akamai, AWS, Cloudflare, Fastly, Imperva, Microsoft och Vercel för att säkerställa snabb utvärdering och spridning av fixar. Trots att WordPress-sajter använder PHP klargjorde WordPress själva att sårbarheterna inte är specifika för deras content management system och uppmanade användare att samarbeta med hosting-leverantörer för att säkra sina installationer.

OpenAI betonade att dessa fel upptäcktes av forskare innan någon känd hackerutnyttjande förekom, en tidslucka som sannolikt möjliggjorts av tidigare svårigheter att identifiera och utnyttja så djupt rotade brister. Men Wiz varnade för att framväxten av stora språkmodeller nu sänker trösklar för angripare att anpassa exploits över PHP-versioner och konfigurationer, vilket effektivt höjer risknivån.

Detta är därmed ett exempel på AI:s paradoxala roll inom cybersäkerhet: AI har varit avgörande för att upptäcka och förebygga högrisk-sårbarheter, men förkortar samtidigt tiden mellan offentliggörande av sårbarheter och exploatering av illvilliga aktörer. Den pågående utmaningen för det globala internetekosystemet är att snabbt patcha tiotals miljoner PHP-drivna webbplatser för att motverka potentiella attacker. NSAs krav på omedelbar åtgärd eller tillfällig nedtagning av webbplatser understryker allvaret i denna kritiska säkerhetsincident.