Kritikus, két évtizedes PHP-sebezhetőségekre figyelmeztetett az NSA
Az amerikai Nemzetbiztonsági Ügynökség (NSA) két kritikus PHP-sebezhetőség miatt sürgeti a weboldalak üzemeltetőit. A hibák a PHP 5 2004-es megjelenése óta jelen vannak a programnyelv valamennyi verziójában, és lehetővé tehetik, hogy a támadók hozzáférjenek a szerver fájlrendszeréhez vagy az alkalmazás által használt adatbázishoz. A PHP a weboldalak mintegy 70 százalékán, több mint 33 millió honlapon használatos, így a probléma különösen széles kört érint. A WordPress-oldalaknak is frissíteniük kell a szerverkörnyezetüket, a hiba ugyanis nem magában a tartalomkezelőben található.
A PHP Foundation már kiadta a javításokat, az NSA pedig a jelenlegi, 8.5.12-es verzióra való azonnali frissítést javasolja. A PHP 8.1 és az annál régebbi kiadások már nem támogatottak. Ha egy oldal nem javítható rögtön, az üzemeltetőknek átmenetileg le kell kapcsolniuk az internetről, mert a nyilvánosságra hozatal után a támadók ismerik a hibákat.
A sebezhetőségeket mesterséges intelligenciát használó biztonsági kutatók fedezték fel, még azelőtt, hogy bizonyíték lett volna éles támadásokra. Az OpenAI „Patch the Planet” kezdeményezésében a Calif egyik hibát GPT-5.6 Sol segítségével azonosította, a Wiz pedig saját Atlas ügynökével, valamint a Gemini 4 Argon és a GPT-5.6 Sol használatával további sérülékenységeket talált. A kutatók és a PHP fejlesztői felelősen, a javítások elkészítése után hozták nyilvánosságra a részleteket. A Wiz szerint ugyanakkor az MI a támadók dolgát is megkönnyítheti, mert képes az exploitokat különböző PHP-verziókhoz és konfigurációkhoz igazítani.