Két kritikus PHP-hiba miatt akár az oldalak lekapcsolását is javasolja az NSA
A PHP 5 óta minden kiadásban ott rejtőzött az a két kritikus hiba, amely miatt az NSA most azonnali javítást sürget. A PHP Foundation már kiadta a javításokat; az ajánlás szerint, ha egy érintett webhelyet nem lehet rögtön frissíteni, ideiglenesen el kell venni az internetről.
A WordPress-oldalak szerverét is javítani kell
A PHP szerveroldali programozási nyelv, amely az internetes weboldalak nagyjából 70%-át szolgálja ki. A WordPress tartalomkezelő rendszer is használja. A két sebezhetőség révén a támadók behatolhatnak a kiszolgáló fájlrendszerébe vagy a webalkalmazás által használt adatbázisba.
A WordPress közlése szerint a probléma nem kifejezetten az ő rendszerüket érinti. A tartalomkezelőt futtató oldalak szerverét is javítani kell, a tárhelyszolgáltatóval együttműködve.
A PHP 8.5.12 a javasolt célverzió
Az érintettség a 2004-ben megjelent PHP 5 verzióig nyúlik vissza: azóta minden kiadásban jelen voltak ezek a hibák. A javaslat a webszerveren futó környezet frissítése a jelenlegi PHP 8.5.12 verzióra. A PHP 8.1 és a régebbi változatok már nem támogatottak.
Az NSA arra az esetre is adott ajánlást, ha az azonnali telepítés nem megoldható. Ilyenkor az érintett webhelyet ideiglenesen offline kell tenni, és a javításig elérhetetlenné kell hagyni.
MI-eszközök találták meg a régóta rejtőző hibákat
Az egyik sebezhetőséget a Calif biztonsági tesztelőcég fedezte fel az OpenAI nyílt forráskódú szoftvereket vizsgáló „Patch the Planet” kezdeményezésében. Az OpenAI beszámolója szerint ehhez a GPT-5.6 Sol modellt használták.
Ettől függetlenül a Google Wiz csapata is több problémát talált a PHP kódjában. A kutatáshoz a Wiz Atlas biztonsági MI-ügynököt, a Gemini 4 Argon és a GPT-5.6 Sol modelleket vetették be.
A kutatók a nyilvános közzététel előtt együtt dolgoztak a PHP fejlesztőivel a javításokon. Ezután közösen pontosították az eredményeket és tesztelték az elkészült csomagokat, további szereplőket is bevonva. A Wiz többek között az Automattic, az Akamai, az AWS, a Cloudflare, a Fastly, az Imperva, a Microsoft és a Vercel segítségét köszönte meg.
Az OpenAI szerint a kutatók megelőzték a támadókat
Az OpenAI közlése szerint a szakemberek azelőtt bukkantak a hibákra, hogy a támadók felfedezték volna őket. A beszámoló nem jelzett éles támadásokban történt kihasználást.
A Wiz ugyanakkor arra figyelmeztetett, hogy a mesterséges intelligencia a támadók dolgát is megkönnyítheti. A cég szerint korábban nehéz volt ezeket a sebezhetőségeket kihasználni. A nagy nyelvi modellek viszont segíthetnek a támadókódot különböző PHP-verziókhoz, beállításokhoz és memóriaelrendezésekhez igazítani.
A cikk mesterséges intelligencia segítségével készült; a szerkesztőség ellenőrizte és jóváhagyta. Impresszum