NSA upozorava na kritične PHP propuste stare više od dve decenije
Američka Agencija za nacionalnu bezbednost (NSA) upozorila je na dve kritične ranjivosti u PHP-u, prisutne u svim verzijama od PHP 5 iz 2004. godine. PHP Foundation je već objavila zakrpe, dok se kao aktuelna verzija navodi PHP 8.5.12. PHP pokreće približno 70% sajtova na internetu, odnosno više od 33 miliona sajtova prema pojedinim procenama, pa se posledice tiču velikog broja web aplikacija i okruženja koja koriste WordPress.
NSA preporučuje hitno zakrpljivanje. Ako vlasnik sajta to ne može odmah da uradi, savet je da sajt privremeno ukloni sa interneta dok se zaštita ne primeni. Ranjivosti napadaču mogu omogućiti prodor do fajl-sistema servera ili baze podataka koju koristi web aplikacija.
Zašto su ažuriranja hitna
Problem je naročito značajan za organizacije koje koriste zastarele izdaje PHP-a. PHP 8.1 i starije verzije više nisu podržane, što znači da prelazak može zahtevati dodatni rad na kompatibilnosti aplikacije, dodataka i serverske konfiguracije. Ipak, takav posao ne bi trebalo odlagati kada je izloženost javnog web servera u pitanju.
WordPress je naglasio da propusti nisu specifični za njegov CMS. Sajtovi zasnovani na WordPress-u ipak treba da zakrpe serversko PHP okruženje i da sa svojim hosting provajderima potvrde da su zaštitne mere primenjene.
AI je pomogla da se propusti pronađu, ali i menja rizik
Jedan propust pronađen je u okviru OpenAI inicijative Patch the Planet. Kompanija Calif je, koristeći GPT-5.6 Sol, identifikovala ranjivost u softveru otvorenog koda. Odvojeno je Wiz koristio bezbednosnog AI agenta Wiz Atlas, Gemini 4 Argon i GPT-5.6 Sol i pronašao više ranjivosti u PHP-u.
OpenAI i Wiz su nalaze prijavili odgovorno, sarađivali sa PHP timom na zakrpama pre javnog otkrivanja i zatim učestvovali u proveri rešenja. Wiz je u tom procesu naveo Automattic, Akamai, AWS, Cloudflare, Fastly, Imperva, Microsoft i Vercel. Važnost odgovornog prijavljivanja vidljiva je i kada AI sistemi mogu otkriti bezbednosne slabosti pokazuje da se AI sistemi mogu koristiti i za identifikovanje bezbednosnih slabosti.
OpenAI navodi da su propusti pronađeni pre nego što su ih otkrili napadači i da nema prijavljenih zloupotreba u praksi. Wiz, međutim, upozorava da veliki jezički modeli mogu olakšati prilagođavanje eksploita različitim verzijama PHP-a, konfiguracijama i rasporedima memorije. Javno objavljivanje zato otvara kratko vreme za reakciju: poslovni prioritet je popis PHP instanci, proveravanje verzija, testiranje ažuriranja i potvrda zaštite sa hosting partnerima.