Az Egyesült Államok Nemzetbiztonsági Ügynöksége (National Security Agency, NSA) szerdán figyelmeztetett, hogy két kritikus sebezhetőséget találtak a PHP-ben, és a PHP Foundation már kiadta a szükséges javításokat. A problémák olyan súlyosak lehetnek, hogy az NSA azt javasolta: ha egy webhelyet nem lehet azonnal frissíteni, érdemes azt levenni a webről, amíg a javítás meg nem történik.
Mi érintett és mekkora a kockázat?
A PHP egy szerveroldali programozási nyelv, amely rendkívül elterjedt a webalkalmazásokban: a weboldalak mintegy 70%-át futtatja, ami egyes becslések szerint több mint 33 millió oldalt jelent. Számos népszerű tartalomkezelő rendszer, köztük a WordPress is PHP-t használ, ezért a hibák potenciális hatása nagyon széles körű.
Az NSA kiemelte, hogy a felfedezett hibák lehetővé teszik a támadók számára, hogy hozzáférjenek a szerver fájlrendszeréhez vagy az alkalmazás által használt adatbázishoz. Érdemes megjegyezni, hogy ezek a hibák a PHP összes verziójában jelen voltak egészen a PHP 5-ig visszanyúlóan — a PHP 5 megjelenése 2004-re tehető. A PHP Foundation ajánlása szerint a webkiszolgálókat a jelenlegi, támogatott verzióra kell frissíteni; a jelenlegi stabil verzió a PHP 8.5.12, míg a PHP 8.1 és az annál régebbi kiadások már nem kapnak támogatást.
Hogyan bukkantak elő e régi hibák?
A sebezhetőségek felfedezésében mesterséges intelligencia-eszközök játszották a fő szerepet. Különösen az OpenAI és a Google által támogatott Wiz biztonsági csapata használta az AI-t a hibák felkutatására.
A Calif nevű biztonsági tesztelő cég az OpenAI „Patch the Planet” kezdeményezésében vett részt, és GPT‑5.6 Sol segítségével találta meg az egyik hibát — ezt az OpenAI egy blogbejegyzésben tette közzé. A Wiz csapata szintén AI-eszközöket vetett be (Wiz Atlas, Gemini 4 Argon és GPT‑5.6 Sol), és több sebezhetőséget azonosított a PHP-ben.
Mindkét csoport felelős kutatói gyakorlatot követett: először együttműködtek a PHP projekttel a javítások kidolgozásában, majd közösen tesztelték a javításokat, és más szereplőket is bevontak a validálásba.
Koordináció és érintett szereplők
A Wiz köszönetet mondott több nagy szolgáltatónak és platformnak, köztük az Automatticnak, Akamainak, az AWS-nek, Cloudflare-nek, Fastly-nek, Impervának, Microsoftnak és Vercelnek a vizsgálatban és a tesztelésben nyújtott közreműködésért. Bár a WordPress alapú oldalak PHP-t használnak, a WordPress egy közleményben hangsúlyozta, hogy a hiba nem kifejezetten a WordPress-re korlátozódik; a WordPress-oldalakat üzemeltetőknek a szerverek javításáról és a tárhelyszolgáltatókkal való együttműködésről kell gondoskodniuk.
Kihasználás a vadonban és az AI szerepe
Az OpenAI közlése szerint a sebezhetőségeket a kutatók fedezték fel, mielőtt rosszindulatú szereplők találták volna meg őket; jelenleg nincs jelentés arra vonatkozóan, hogy a hibákat a vadonban kihasználnák. Ugyanakkor a felfedezés háttere rávilágít egy fontos paradoxonra: míg a hibák létezését és javítását részben az AI tette lehetővé, az AI egyben meg is könnyíti a potenciális támadók dolgát. A Wiz blogbejegyzésében arra figyelmeztetett, hogy a nagy nyelvi modellek (LLM-ek) segíthetnek egy exploit adaptálásában különböző PHP-verziókhoz, konfigurációkhoz és memóriaszerkezetekhez, így korábban nehezen kihasználható hibák is könnyebben támadhatóvá válhatnak.
Mit tegyenek a webhely-tulajdonosok?
A jelenlegi helyzetben a javaslat világos: telepítsék a PHP Foundation által kiadott javításokat, vagy frissítsenek a támogatott legfrissebb PHP-verzióra (PHP 8.5.12). Ha valaki nem tudja azonnal élesben frissíteni rendszerét, az NSA tanácsa szerint érdemes a szervert ideiglenesen levenni a hálózatról addig, amíg a javítás meg nem történik.
Összességében a mostani eset azt mutatja, hogy az AI kettős szerepet tölt be a kiberbiztonságban: képes megtalálni és megelőzni régi, széles körben jelen lévő hibákat, miközben a támadók számára is eszközt adhat a kihasználásukhoz. A következő hetekben a webes ökoszisztéma versenyfutásban van azzal, hogy a milliónyi érintett oldal be legyen-e frissítve a szélesebb körű támadások előtt.
