A PHP fejlesztői 2026. október 21-én sürgősségi javítócsomagot tettek közzé két, kritikus besorolású sebezhetőség miatt. A hibákat a Calif és a Wiz kutatói azonosították mesterséges intelligencia alkalmazásával; a kutatásokra vonatkozó bejelentések augusztus 11-én (Calif) és augusztus 24-én (Wiz) érkeztek a PHP fejlesztőihez.
Mi történt és miért volt súlyos a helyzet?
A PHP olyan széles körben használt programnyelv a weben, hogy a sérülékenységek globális hatású zavart okoztak. A W3Techs adatai szerint azonosítható technológiát használó weboldalak közel 70 százaléka fut PHP-vel; ennek egyik legnagyobb felhasználója a WordPress, amely az összes weboldal körülbelül 40 százalékát működteti. A Drupal Association ügyvezető igazgatója szerint a most feltárt hibák az elmúlt húsz év összes PHP-verzióját érintik.
A Censys mérésére hivatkozva a cikk szerint a 2,6 millió PHP-t futtató szerverből mintegy 1,5 millióon még nem volt elérhető a javítás a nyilvánosságra hozás idején, ami arra utal, hogy a védelmi intézkedések gyors elterjesztése és az érintett rendszerek leállítása széles körben indokolt volt.
Kormányzati és intézményi reakciók
A CERT-EU (az Európai Unió kiberbiztonsági csapata) arra kérte a PHP-t használó szervezeteket, hogy amíg nem telepítik a kiadott javításokat, kapcsolják le érintett rendszereiket a kockázatok minimalizálása érdekében. Több országban kormányzati oldalak kerültek karbantartási módba vagy teljes leállításra: a holland Nemzeti Kiberbiztonsági Központ a saját weboldalát leállította, Finnországban az állami informatikai szolgáltató ideiglenesen lekapcsolta az összes kormányzati webszolgáltatást, a francia belügyminisztérium karbantartási módra állította oldalait.
Magyarországon a Nemzeti Kibervédelmi Intézet kritikus riasztást adott ki. Tanács Zoltán tudományos és technológiai miniszter közlése szerint elővigyázatosságból ideiglenesen leállították a Magyarország.hu portált és több más kormányzati honlapot; a tájékoztatás szerint ugyanakkor egyelőre nem találtak jeleket sikeres kibertámadásra.
Az AI szerepe és a kutatói megállapítások
Az első sebezhetőséget a Calif kutatói az OpenAI GPT-5.6 Sol modelljével fedezték fel, a másodikat pedig a Wiz — az Alphabet érdekeltségébe tartozó biztonsági cég — független AI-alapú kutatással. A Wiz szerint a hibák demonstrálható kihasználása olyan lépéssorozatot igényelt, amely közel áll az emberi kutatók képességeinek határához, ami rávilágít az AI kutatási potenciáljára a sérülékenységek felfedezésében.
Hatások és további intézkedések
A probléma nemzetközi következményekkel járt: Japán bejelentette egy olyan egység létrehozását, amely mesterséges intelligenciával szimulált támadásokkal keres rendszerszintű gyenge pontokat. A gyorsan terjedő értesülések miatt számos szolgáltató és üzemeltető sürgősségi biztonsági intézkedéseket vezetett be.
Internethasználói érdeklődés — Google Trends
A Google Trends adatai szerint a „PHP” keresési kifejezés iránti érdeklődés a múlt hét folyamán világszerte hirtelen megugrott, az elmúlt öt év legmagasabb szintjére emelkedve. Érdekes módon az „AI security” kifejezés keresési volumene nem mutatott hasonló mértékű növekedést, noha az AI központi szerepet játszott a sebezhetőségek felfedezésében.
Összehasonlítva a „PHP” és a „Hugging Face” iránti kereséseket, a PHP iránti érdeklődés messze magasabb volt a közelmúlt eseményei miatt; csak néhány országban—például Kínában—mutatkozott erősebb keresési aktivitás a Hugging Face iránt.
Összegzés
Az AI által felfedezett két kritikus PHP-hiba miatt október 21-én kiadott sürgősségi javítás és a kapcsolódó biztonsági intézkedések világszerte weboldalak tízezreit érintették. A helyzet újra ráirányította a figyelmet arra, hogy a széles körben használt webes technológiák sérülékenységei milyen gyorsan válhatnak globális kockázattá, és hogy az AI mind a sebezhetőségek felderítésében, mind pedig a védekezés fejlesztésében kulcsszerepet játszik.
