Narodowa Agencja Bezpieczeństwa USA wydała ostrzeżenie o dwóch krytycznych lukach w języku PHP. Podatności te dotykają wszystkich wersji PHP wydanych od 2004 roku, począwszy od wersji 5. Z racji tego, że PHP napędza większość stron internetowych na świecie oraz popularne systemy zarządzania treścią, skala problemu jest ogromna. Agencja zaleca, aby w przypadku braku możliwości natychmiastowego zaktualizowania oprogramowania, wyłączyć stronę internetową do momentu wdrożenia poprawek.
Wykrycie podatności dzięki sztucznej inteligencji
Obydwie luki zostały zidentyfikowane przez sztuczną inteligencję. Firma Calif uczestnicząca w inicjatywie OpenAI znalazła jedną z podatności za pomocą modelu GPT-5.6 Sol. Z kolei zespół Wiz użył agenta bezpieczeństwa Wiz Atlas oraz modeli Gemini 4 Argon i GPT-5.6 Sol do odnalezienia wielu błędów w kodzie PHP. Odkrywcy zastosowali zasady odpowiedzialnego ujawniania informacji i współpracowali z fundacją PHP oraz licznymi firmami, w tym Automattic, Akamai, AWS, Cloudflare, Fastly, Imperva, Microsoft i Vercel, nad przygotowaniem i przetestowaniem poprawek.
Skala zagrożenia i konieczność aktualizacji
Przedstawiciele OpenAI zaznaczają, że podatności zostały odkryte przez badaczy zanim hakerzy zdążyli je wykorzystać, a w sieci nie odnotowano incydentów. Eksperci z Wiz ostrzegają jednak, że przed sztuczną inteligencją te błędy były zbyt trudne do wykorzystania przez cyberprzestępców. Duże modele językowe potrafią dostosować exploit do różnych wersji PHP, konfiguracji oraz układów pamięci. Obecnie trwa wyścig z czasem, a administratorzy stron muszą niezwłocznie zaktualizować serwery do aktualnej wersji 8.5.12.