PHP ma dwie krytyczne luki, jedną znaleziono z pomocą GPT-5.6 Sol. Sprawdź, czy twoja strona ma poprawkę

OpenAI opisał 21 października, jak przez dwa miesiące prowadził grupę opiekunów PHP, badaczy i firm od bezpieczeństwa, która zajęła się krytycznymi lukami w tym języku. PHP to język, w którym działa wiele stron i aplikacji internetowych. Sprawa może więc dotyczyć każdego, kto ma stronę firmy albo sklep internetowy, nawet jeśli nie wie, na czym działają. Szczegóły podał OpenAI w komunikacie o programie Patch the Planet.

Kto znalazł błędy

Jedną z luk wykryła firma Calif z pomocą modelu GPT-5.6 Sol. Firma Wiz niezależnie znalazła i zgłosiła obie luki. Poprawki przygotowali i wydali opiekunowie PHP, a OpenAI, Wiz, Cloudflare i inni partnerzy pomagali w badaniu i koordynacji. OpenAI ocenia sprawę jako jeden z najpoważniejszych problemów z bezpieczeństwem ostatnich lat. To ocena firmy, która sama prowadzi program.

Według wiedzy OpenAI model AI znalazł te luki, zanim zrobili to atakujący. Firma pisze też wprost, że te same umiejętności modeli mogą pomóc atakującym szybko budować narzędzia do włamań. Spodziewa się, że w najbliższych miesiącach podobnych odkryć będzie gwałtownie przybywać.

Co zrobić, jeśli masz stronę

OpenAI pisze, że dla firm używających PHP najważniejsze jest teraz wgranie poprawek. Komunikat nie podaje numerów luk ani wersji PHP, których dotyczą. Jeśli stroną zajmuje się firma hostingowa albo agencja, zapytaj ją wprost:

1. Czy serwer, na którym stoi twoja strona, używa PHP?
2. Czy wgrano już poprawki wydane przez opiekunów PHP?
3. Jeśli nie, kiedy to nastąpi i czy do tego czasu działa tymczasowe zabezpieczenie?

Informatycy mogą sprawdzić wersję narzędziem, które OpenAI udostępnił na GitHubie jako umiejętność dla Codexa. Wskazówki zebrane przez partnerów są na stronie programu Patch the Planet. Obejmują sprawdzenie, czy system jest narażony, wybór aktualizacji, tymczasowe zabezpieczenia oraz kopie zapasowe i odtwarzanie.

Pieniądze dla obrońców

OpenAI obiecał miliard dolarów w dofinansowanym dostępie do Daybreak, swojego programu dla obrońców, żeby więcej z nich mogło używać modeli do szukania luk. Dostęp ma trafić do organizacji z małymi zespołami bezpieczeństwa, które chronią usługi podstawowe. Opiekunowie projektów open source dostają subskrypcje w programie Codex for OSS, a projekty mogą prosić o pomoc ekspertów.

Firma zaproponowała też pięcioetapowy sposób reagowania na takie luki: od potwierdzenia błędu i poprawki, przez ostrzeżenie firm, które muszą się przygotować, po publikację wskazówek. Przy PHP OpenAI współpracował z amerykańskimi urzędami, w tym z agencją CISA. Komunikat nie wymienia polskich instytucji.

Wcześniej pisaliśmy, jak CERT Polska znalazł z pomocą AI od OpenAI sześć błędów w routerach i jak Anthropic szuka luk w darmowym kodzie.

OpenAI zbiera opinie o swoim planie przez formularz. Pyta między innymi, ile czasu potrzebują opiekunowie programów na przygotowanie poprawek, zanim informacja o luce stanie się publiczna.