PHP2Shell: modele AI znalazły krytyczne luki w PHP, zanim zrobili to atakujący

Dwie krytyczne luki w PHP, nazwane zbiorczo PHP2Shell, wykryły modele AI, zanim zdążyli to zrobić atakujący. Jak opisuje The Decoder, GPT-5.6 Sol namierzył błąd w ramach inicjatywy Patch the Planet. OpenAI nazywa go jednym z „najbardziej brzemiennych w skutki problemów bezpieczeństwa w ostatnim czasie”. Podatności mogą dotyczyć milionów witryn na całym świecie.

Z opisu OpenAI wynika, że jedną z luk znalazł zespół Calif, korzystając z GPT-5.6 Sol. Firma Wiz niezależnie zgłosiła obie. Użyła do tego własnej platformy Wiz Atlas oraz modeli GPT-5.6 Sol i Gemini 4 Argon od Google. Według Wiz Gemini 4 Argon przydał się na kilku etapach: przy wyszukiwaniu podatności, tworzeniu exploitów, budowaniu detekcji ataków i sprawdzaniu, czy łatka działa.

Dlaczego to nie jest zwykła łatka

Luki siedzą w warstwie PHP, która uruchamia strony. Zagrożona może więc być infrastruktura pod spodem, nawet gdy kod samej aplikacji jest poprawny. Obu podatnościom przypisano identyfikatory CVE-2026-109618 i CVE-2026-109619, a ich ryzyko oceniono na 9,2/10, jak podaje The Record. Projekt PHP wydał poprawione wersje: 8.5.12, 8.4.27, 8.3.36 i 8.2.35. Operatorzy serwerów mogą też użyć narzędzia z GitHuba, które sprawdza, czy ich wersja PHP jest podatna.

Wiz zwraca uwagę na rzecz, która wykracza poza ten jeden przypadek. Exploit działający na konkretnej instalacji PHP trzeba było dotąd z dużym wysiłkiem dopasowywać do innych wersji i konfiguracji. Duże modele językowe zdejmują tę przeszkodę, bo potrafią automatycznie przystosować exploit do różnych wersji, ustawień i układów pamięci. „To znacząco obniża barierę skalowania ataków na różne wdrożenia” — pisze firma, dodając, że „podatności, które wyglądały na niepraktyczne do wykorzystania, stają się realnymi celami” (Nextgov).

Dwa miesiące i pięć etapów

Poprawkę koordynowano przez dwa miesiące, w pięciu fazach. Uczestniczyli w tym deweloperzy PHP, Wiz, Cloudflare oraz amerykańskie instytucje, w tym CISA i Biały Dom. OpenAI proponuje ten proces jako powtarzalny schemat dla kolejnych odkryć dokonywanych przez AI.

Firma spodziewa się, że w ciągu najbliższych miesięcy gwałtownie wzrośnie liczba odkryć luk na skalę PHP2Shell. Ostrzega też, że te same zdolności, które pomagają znajdować luki, mogą pomagać atakującym.

Po publikacji poprawek CISA wezwała wszystkie organizacje używające PHP do natychmiastowej instalacji łatek (SC World). Agencja zastrzegła, że w chwili publikacji nie obserwowała wykorzystywania tych luk, ale „stanowią one ryzyko dla organizacji, jeśli pozostaną niezałatane”. The Record podaje, że część serwisów była po publikacji poprawek czasowo wyłączana z ostrożności.

Sprawa wpisuje się w trwającą od miesięcy debatę o ofensywnych i defensywnych możliwościach modeli AI w cyberbezpieczeństwie. Tym razem obrońcy wyprzedzili atakujących. Nie wiadomo, czy tak będzie przy następnej luce, skoro ta sama technika skraca też drogę od odkrycia podatności do działającego exploita.