OpenAI og Wiz fandt 22 år gamle PHP-huller
To kritiske sårbarheder har ligget i PHP siden 2004. Nu advarer NSA om at opdatere til 8.5.12 – eller tage sitet af nettet.
OpenAI og Wiz fandt hullerne
Det var AI, der fandt de to kritiske sårbarheder i PHP. Sikkerhedsvirksomheden Calif arbejdede for OpenAI i initiativet Patch the Planet og brugte modellen GPT-5.6 Sol til at finde det ene hul, oplyser OpenAI i et blogindlæg.
Wiz fandt samtidig flere sårbarheder med sin sikkerhedsagent Wiz Atlas, der blandt andet kørte Gemini 4 Argon og GPT-5.6 Sol. Begge parter arbejdede sammen med PHP Foundation om at lappe hullerne, før de blev offentliggjort.
- Andel af verdens websites der bruger PHP
- Cirka 70 %
- Antal PHP-sites ifølge løse opgørelser – usikkert skøn
- Over 33 mio.
Huller har ligget i PHP siden 2004
PHP er et programmeringssprog til servere, som cirka 70 procent af verdens websites bruger – efter nogle opgørelser mere end 33 millioner sites. Også WordPress bygger på PHP, men WordPress understreger, at fejlen ikke er specifik for deres system: Det er serveren, der skal opdateres.
Hullerne har ligget i alle PHP-versioner siden PHP 5 fra 2004, og de kan lade angribere trænge ind i serverens filsystem eller i en database. PHP 8.1 og ældre versioner understøttes ikke længere, så anbefalingen er at opdatere til PHP 8.5.12.
NSA: Kan du ikke patche, så gå offline
OpenAI oplyser, at hullerne blev fundet, før hackere fandt dem, og at der ikke er rapporteret om angreb mod websites endnu. Wiz peger dog på, at AI fjerner den barriere, der tidligere gjorde hullerne svære at udnytte: Sprogmodeller kan tilpasse et angreb til forskellige PHP-versioner, opsætninger og hukommelseslayouts.
Nu hvor sårbarhederne er offentlige, skal millioner af websites opdateres, før nogen udnytter dem. NSA's råd er klart: Kan et website ikke patches med det samme, bør det tages af nettet, indtil det kan.
Flere detaljer
- Wiz takkede Automattic, Akamai, AWS, Cloudflare, Fastly, Imperva, Microsoft og Vercel for hjælpen.
- PHP 8.1 og ældre versioner er ikke længere understøttet af PHP Foundation.
- Hullerne har været til stede i alle PHP-versioner siden PHP 5 fra 2004.
Kilder:
TechCrunch AI →
Genfortalt i egne ord af AI-nyheder.com · Tjek altid originalkilden, før du handler på vigtige oplysninger.