AI odkryła lukę, która może zagrozić milionom stron. Eksperci biją na alarm
Volker Dusch, inżynier ds. bezpieczeństwa w fundacji zarządzającej projektem PHP, uznał problem za najpoważniejsze zagrożenie dla tej technologii od ponad dekady. Porównał go do Heartbleeda, luki sprzed lat, po której administratorzy setek tysięcy serwerów na świecie musieli szybko wdrażać zabezpieczenia. PHP2Shell dotyczy mechanizmu obsługi pamięci w PHP, a na niezałatanych serwerach w niektórych scenariuszach wystarczy kilka sekund, by uruchomić nieautoryzowany kod.
AI pomogła odkryć lukę w PHP
Czytaj nas częściej w Google
Na podatność trafił Ryan Austin, badacz z firmy Calif, podczas sierpniowego audytu kodu źródłowego PHP. Korzystał przy tym z GPT-5.6 Sol. Według ustaleń luka tego rodzaju istniała w kodzie od lat, a jeden z badaczy zauważył ją już dekady temu. Wtedy uznano jednak, że jej praktyczne użycie byłoby zbyt trudne.
AI wskazała sposób wykorzystania błędu. Ryan Austin ustalił, że kontrolę nad kodem wykonywanym w pamięci komputera można uzyskać po kilkudziesięciu zapytaniach do serwera. W prostszych systemach atak zajmuje kilka sekund, a w bardziej złożonych może potrwać parę godzin.
Nad zabezpieczeniem pracowała nieformalna grupa badaczy i programistów razem z dystrybutorami oprogramowania oraz firmami z branży bezpieczeństwa. Później własne metody ataku zgłosił zespół ds. cyberbezpieczeństwa Wiz z Google, który niezależnie od Calif natrafił na ten sam trop. Swoje ustalenia przekazali też badacze z OpenAI.
Narzędzia AI pomagają badaczom znajdować tysiące błędów, ale jednocześnie projekty open source otrzymują przez to dużą liczbę zgłoszeń wymagających reakcji. PHP2Shell zostało portaktowane jako priorytet, ponieważ łatwość wykorzystania systemów przy użyciu AI wywołała obawy przed masowym atakiem, zanim administratorzy zdążą zainstalować poprawki.
Po publikacji łatki może rozpocząć się wyścig z hakerami
Publikacja aktualizacji rozpoczęła wyścig między obrońcami a napastnikami. Administratorzy muszą sprawdzić i wdrożyć poprawkę, a hakerzy mogą analizować zmieniony kod, by odtworzyć sposób działania luki lub poszukać obejścia. Eksperci wskazują, że AI znacząco skraca czas takiej analizy.
— Ktoś na X może wziąć poprawkę, przepuścić ją przez AI i opublikować gotowy skrypt do ataku. Wtedy zacznie się prawdziwe piekło — powiedział w rozmowie z "WSJ" Thai Duong, prezes firmy Calif, która wykryła usterkę.
Ami Luttwak, współzałożyciel firmy Wiz, ocenił PHP2Shell jako najgroźniejszą lukę znalezioną dotąd z pomocą AI. Jego zdaniem bez sztucznej inteligencji jej wykrycie było niemal niemożliwe ze względu na stopień skomplikowania.
Thai Duong i pozostali badacze utrzymywali sprawę w tajemnicy, obawiając się, że haker korzystający z AI mógłby odnaleźć podatność przed zakończeniem prac nad zabezpieczeniem. Naprawa objęła prawie 200 plików, a deweloperzy napisali ponad 10 tys. nowych linijek kodu. Publikację aktualizacji zaplanowano na 22 października, ale niespełna dwa dni wcześniej na Hacker News pojawiła się wzmianka o nadchodzącej łatce.
Poprawkę udostępniono wcześniej, niż planowano
Zespół Volkera Duscha zdecydował wtedy o natychmiastowym udostępnieniu poprawki. We wtorek wydano ogólne ostrzeżenie, by administratorzy przygotowali się na krytyczną aktualizację bezpieczeństwa przewidzianą na środę. Dusch ocenił, że taki ruch dawał administratorom czas na przygotowania, a jednocześnie nie zostawiał napastnikom zbyt dużego marginesu na stworzenie narzędzi do ataku.
Zespół Volkera Duscha podjął decyzję o natychmiastowym wydaniu poprawki. We wtorek wydano ogólny komunikat z ostrzeżeniem, by przygotować się na krytyczną aktualizację bezpieczeństwa zaplanowaną na środę.
— To był rozsądny kompromis: dać czas administratorom na przygotowanie się, a jednocześnie nie dać go zbyt wiele napastnikom na stworzenie narzędzi do ataku — podsumowuje Volker Dusch.
KioskNews shows a cleaned-up reading view extracted from the publisher’s page — the original always lives on their site, not ours.