PHP Армагедон: OpenAI и Wiz на Google откриха древни уязвимости, всявайки паника в интернет

Националната агенция за сигурност на САЩ изпрати тревожно предупреждение в сряда, че в PHP са открити две критични уязвимости, като корекциите вече са публикувани от PHP Foundation.

PHP е програмен език от страна на сървъра, който се използва толкова широко за уеб приложения, че захранва приблизително 70% от уебсайтовете в интернет; според някои оценки това са повече от 33 милиона сайта. Той се използва и от популярни системи за управление на съдържанието като WordPress.

NSA предупреди, че тези уязвимости са толкова сериозни, че ако даден уебсайт не може да бъде коригиран незабавно, той трябва да бъде свален от интернет, докато това стане възможно. Уязвимостите позволяват на атакуващите да проникнат във файловата система на сървъра или в база данни, която може да се използва от уеб приложението.

Интересното е, че тези уязвимости са били скрити във всички версии на PHP от версия 5 насам, която беше пусната през 2004 г. Уебсайтовете, които не използват сравнително актуални версии на PHP, ще трябва да извършат известно обновяване, тъй като PHP 8.1 и по-старите версии вече не се поддържат. Препоръката е уеб сървърът да бъде обновен до текущата версия на PHP, която е 8.5.12.

Как тогава две толкова повсеместни, съществуващи от десетилетия уязвимости, които засягат почти всеки уебсайт в интернет, изведнъж излязоха наяве? Естествено, благодарение на изкуствения интелект, по-специално чрез OpenAI и Wiz на Google.

Компанията за тестване на сигурността Calif участваше в инициативата на OpenAI „Patch the Planet“ за откриване на уязвимости в софтуер с отворен код. Използвайки GPT‑5.6 Sol, тя откри една от уязвимостите, съобщи OpenAI в публикация в блога си. Отделно, екипът на Wiz също използва изкуствен интелект — по-конкретно своя агент за сигурност с изкуствен интелект Wiz Atlas, Gemini 4 Argon и GPT-5.6 Sol — за да открие множество уязвимости в PHP.

И OpenAI, и Wiz следваха отговорни практики за изследване на сигурността и работиха с PHP по корекциите, преди публично да разкрият уязвимостите. След това всички те работиха заедно, за да изяснят откритото и да тестват корекциите, като привлякоха и редица други страни за съдействие.

Wiz благодари на Automattic, Akamai, AWS, Cloudflare, Fastly, Imperva, Microsoft и Vercel. (Въпреки че сайтовете на WordPress използват PHP, WordPress публикува изявление, в което се казва, че уязвимостта не е специфична за WordPress и че сайтовете, работещи с неговата CMS, трябва да коригират сървърите си и да работят с компаниите за уеб хостинг, за да гарантират защитата на сайтовете си.)

OpenAI заявява, че тези уязвимости са били открити от изследователи, преди хакерите да ги открият. Следователно няма съобщения за експлоатирането им в дивата природа. Това отчасти се дължи и на факта, че преди появата на изкуствения интелект тези уязвимости са били твърде трудни за експлоатиране от хакери. „С изкуствения интелект това вече не е пречка. Големите езикови модели могат да помогнат за адаптирането на експлойт към различни версии на PHP, конфигурации и разпределения на паметта“, предупреди Wiz в своя блог за уязвимостите.

С други думи, това е вид проблем със сигурността, който е бил открит и предотвратен благодарение на изкуствения интелект, но също така представлява висок риск именно заради изкуствения интелект.

Сега, след като проблемът беше разкрит, хакерите са напълно наясно с него. Започна надпревара да бъдат коригирани десетки милиони уебсайтове в интернет, преди хакерите да успеят да атакуват незащитените. Ето защо NSA препоръчва, ако не можете веднага да коригирате своя PHP уебсайт, най-добре да го свалите от интернет, докато това стане възможно.