OpenAI Patch the Planet: AI talált kritikus PHP-hibákat

Mi történt?

Az OpenAI szerdán közzétette (OpenAI), hogyan koordinált két hónapon át egy nemzetközi választ két kritikus PHP-sebezhetőségre. Az egyik hibát a Calif biztonsági cég találta meg a GPT-5.6 Sol modellel, az OpenAI Patch the Planet programjának keretében. A Wiz egymástól függetlenül mindkét hibát felfedezte és jelentette. A javítást a PHP karbantartói vezették. A Wiz, a Cloudflare és más partnerek kutatással, technikai segítséggel és koordinációval szálltak be.

Az OpenAI szerint ez az utóbbi idők egyik legnagyobb hatású biztonsági problémája. A cég tudomása szerint a frontier AI hamarabb találta meg a hibákat, mint a támadók. Így nyílt egy „védekezői ablak” (Defender’s Window) a javítások és a védelmek előkészítésére.

A két PHP-hiba

A PHP csapata október 21-én adta ki a javított verziókat (GitHub). A Help Net Security összefoglalója szerint a hibák a PHP2Shell nevet kapták:

• CVE-2026-109618: távoli kódfuttatás a memóriahiány (OOM) kezelésén keresztül. A kérés belső adatai részben inicializált állapotban maradhatnak, a takarítás pedig ezeket érvényesnek veszi.
• CVE-2026-109619: távoli kódfuttatás elavult globális állapoton keresztül. Egy kéréshez tartozó belső állapot túlélheti a mögötte lévő memória felszabadítását, így egy későbbi kérés ugyanabban a workerben felhasználhatja.

Javított verziók: PHP 8.5.12, 8.4.27, 8.3.36 és 8.2.35. A Help Net Security szerint minden webes kérést kiszolgáló telepítés érintett (PHP-FPM, mod_php, php-cgi, FrankenPHP, LiteSpeed), a legnagyobb veszélyben a mod_php van. A 8.1-es és régebbi ágakra nincs hivatalos kiadás. A PHP biztonsági csapata viszont minimális forráskódos backportot adott ki a 7.4, 8.0 és 8.1 verziókhoz. A Cloudflare közlése szerint a mögötte futó PHP-oldalakra már élnek WAF-szabályok, az ingyenes csomagban is.

Öt lépés a válaszhoz

Az OpenAI keretrendszert is javasol arra, hogyan kezeljék a széles körben használt szoftverek kritikus hibáit az AI korában. Öt szakaszt ír le:

• A hiba validálása és javítása upstream. Ebbe frontier modellekkel végzett adversarial tesztelés is tartozik, hogy a patch ne legyen megkerülhető.
• Idő az érintett szervezeteknek. Disztribútorok, hosting- és biztonsági szolgáltatók előre felkészülhetnek, például WAF-szabályokkal. Azt, hogy kit vonnak be, a karbantartók döntik el.
• Egyeztetés kormányzati partnerekkel. A PHP esetében az amerikai ONCD, a CISA és a Fehér Ház Super Intelligence Force nevű egysége is részt vett, illetve nemzetközi partnerek is.
• A frissítések előkészítése az érintett termékekben.
• Nyilvános útmutató és segítség a telepítéshez, miután a patch megjelent.

A cég kérdéseket is feltesz a szakmának. Mennyi idő kell a nyilvánosságra hozatal előtt? Ki kapjon előzetes értesítést? Szabad-e kormányoknak egy sebezhetőséget kihasználva foltozni olyan rendszereket, amelyek felett elvesztették az adminisztratív hozzáférést? A visszajelzéseket az OpenAI nyilvánosan kéri.

Pénz és eszközök a védekezőknek

Az OpenAI 1 milliárd dollárnyi támogatott Daybreak-hozzáférést vállalt a Daybreak for Frontline Defenders programban. Ezt elsősorban a szűkös biztonsági erőforrású, létfontosságú szolgáltatásokat védő szervezeteknek szánják. Az open source maintainerek előfizetést kapnak a Codex for OSS programon keresztül, a cég pedig többek között a Rust Foundationt is szponzorálja. Kiadtak egy PHP-verzióellenőrzőt, hamarosan egy Codex skill is érkezik a sérülékeny verziók azonosításához.

A cég nyíltan beszél a dilemmáról: ugyanaz a képesség, amely hibát talál, támadóeszközt is gyárthat. Ezért további blokkoló classifiereket hangolnak a Daybreakhez. Közben a legitim biztonsági munkát nem akarják ellehetetleníteni, ez pedig nem egyszerű egyensúly.

Mit jelent ez nekünk?

Ha PHP-t futtatsz, az első lépés a frissítés. Érdemes leltárt készíteni minden PHP-telepítésről, a régi, elfeledett appokat is beleértve. A nagyobb kép: az OpenAI szerint az AI által talált hasonló hibák száma a következő hónapokban meredeken nő. Aki open source projektet tart karban, nézze meg a Patch the Planet támogatását, mert a következő bejelentés akár az ő kódjáról is szólhat.