Nuo 2004 metų PHP slėptas spragas aptiko OpenAI ir Google

OpenAI ir Google saugumo tyrimuose naudoti DI įrankiai padėjo aptikti dvi kritines PHP spragas, išlikusias nuo 2004 metais išleistos penktosios versijos. Spalio 21 dieną TechCrunch pranešė, kad PHP kūrėjai pataisas išleido dar prieš viešai atskleidžiant šiuos pažeidžiamumus.

Pasak leidinio, PHP naudojama maždaug 70 procentų interneto svetainių, todėl klaidos aktualios gerokai platesniam ratui nei atskiram programinės įrangos produktui. Šia serverio programavimo kalba remiasi ir „WordPress“, tačiau pati turinio valdymo sistema nėra vienintelis ar išskirtinis pažeidžiamumo taikinys.

TechCrunch rašo, kad spragos leidžia užpuolikams pasiekti serverio failų sistemą arba interneto programos naudojamą duomenų bazę tam tikromis pažeidžiamomis aplinkybėmis. JAV Nacionalinio saugumo agentūra paskelbė griežtą perspėjimą dėl svetainių, kurių administratoriai negali nedelsdami įdiegti išleistų pataisų.

Viena klaida aptikta saugumo bandymų bendrovei „Calif“ dalyvaujant OpenAI iniciatyvoje „Patch the Planet“, nurodoma leidinio aprašytoje laboratorijos publikacijoje. Tyrėjai naudojo „GPT-5.6 Sol“, o atskirai dirbusi Google „Wiz“ komanda pasitelkė „Wiz Atlas“, „Gemini 4 Argon“ ir tą patį OpenAI modelį.

Pasak TechCrunch, abi tyrėjų grupės pirmiausia bendradarbiavo su PHP kūrėjais, kad pataisos būtų parengtos iki platesnio informacijos paskelbimo internete. Vėliau komandos kartu tikrino pažeidžiamumus ir pataisų veikimą, prie koordinavimo prisidėjo debesijos, tinklo infrastruktūros bei svetainių apsaugos paslaugų teikėjai.

Leidinys nurodo, kad „Wiz“ padėkojo „Automattic“, „Akamai“, AWS, „Cloudflare“, „Fastly“, „Imperva“, „Microsoft“ ir „Vercel“ už pagalbą rengiant bendrą atsaką. „WordPress“ savo pareiškime pabrėžė serverio aplinkos svarbą: turinio sistemos naudojimas nepanaikina poreikio sutvarkyti jos veikimui būtinos PHP versijos.

TechCrunch pateiktoje informacijoje dabartine pataisyta PHP versija įvardijama 8.5.12, o 8.1 ir senesnės šakos jau nebeturi įprasto palaikymo. Todėl senesnę aplinką išlaikiusioms svetainėms gali neužtekti nedidelio atnaujinimo, nes pirmiausia reikės pereiti į dar prižiūrimą programinės įrangos šaką.

OpenAI teigimu, tyrėjai klaidas aptiko anksčiau už užpuolikus, o paskelbimo metu nebuvo pranešimų apie jų išnaudojimą realiose atakose. Tačiau TechCrunch pažymi, kad DI padeda ne tik rasti pažeidžiamumus: jis taip pat gali sumažinti skirtingoms serverių aplinkoms pritaikytos atakos parengimo sunkumą.

TechCrunch pažymi, kad šių klaidų praktinį išnaudojimą anksčiau apsunkino skirtingos PHP versijos, serverių konfigūracijos ir operatyviosios atminties išdėstymas konkrečioje aplinkoje. DI įrankiai gali padėti prisitaikyti prie tokių skirtumų, todėl tyrėjų atradimas vienu metu parodo ir stipresnę gynybą, ir pasikeitusį atakų parengimo barjerą.

Pasak leidinio, tolesnis etapas priklausys nuo prieglobos bendrovių ir svetainių administratorių atnaujinimų tempo, nes informacija apie spragas jau vieša. Atsakingas atskleidimas suteikė galimybę parengti apsaugą iš anksto, tačiau dar nepataisytų serverių rizika liks iki konkrečių jų aplinkų atnaujinimo.