Το EFF ζητά εταιρική χρηματοδότηση μετά την ανακάλυψη κενών ασφαλείας PHP2Shell μέσω AI

Δύο κρίσιμα κενά ασφαλείας στην PHP, τη γλώσσα προγραμματισμού που υποστηρίζει ένα μεγάλο μέρος του διαδικτύου, διορθώθηκαν την Τετάρτη 21 Οκτωβρίου. Η OpenAI δηλώνει ότι το μοντέλο GPT-5.6 Sol συνέβαλε στον εντοπισμό τους. Οι ευπάθειες, CVE-2026-109618 και CVE-2026-109619, είναι συλλογικά γνωστές ως PHP2Shell. Και οι δύο αποτελούν σφάλματα απομακρυσμένης εκτέλεσης κώδικα με βαθμολογία 9.2 στην κλίμακα CVSS 4.0, σύμφωνα με την Unit 42 της Palo Alto Networks ↗ 7.22%. Πλέον, υπέρμαχοι των ψηφιακών δικαιωμάτων και στελέχη του κλάδου προειδοποιούν ότι ο εντοπισμός σφαλμάτων μέσω τεχνητής νοημοσύνης παράγει περισσότερες ευπάθειες από όσες μπορούν να διαχειριστούν οι εθελοντές που συντηρούν το λογισμικό ανοιχτού κώδικα.eff.org

Μια βιαστική αποκάλυψη

Το χρονοδιάγραμμα του PHP Foundation δείχνει ότι η Calif υπέβαλε την πρώτη αναφορά στις 11 Αυγούστου. Στη συνέχεια, η Wiz επισήμανε αλληλοεπικαλυπτόμενα ζητήματα στις 24 Αυγούστου, ενώ η OpenAI ανέφερε ανεξάρτητα την ίδια βασική αιτία στις 18 Σεπτεμβρίου, σύμφωνα με το TechRound. Η OpenAI δήλωσε ότι η Calif εντόπισε ένα από τα κενά με το GPT-5.6 Sol μέσω του προγράμματος Patch the Planet, όπως μετέδωσε το Mashable. Η Wiz Alphabet Inc. ↘ 1.08% ανέφερε ότι χρησιμοποίησε τα δικά της εργαλεία μαζί με το Gemini 4 Argon της Google και το GPT-5.6 Sol, σύμφωνα με το ABC7.techround.co.uk+2

Οι διορθώσεις για τις εκδόσεις PHP 8.5.12, 8.4.27, 8.3.36 και 8.2.35 κυκλοφόρησαν μία ημέρα νωρίτερα από το προγραμματισμένο, μετά τη διαρροή των αναγνωριστικών CVE στο διαδίκτυο στις 20 Οκτωβρίου. Η Chainguard δημοσίευσε επίσης διορθωμένα είδωλα κοντέινερ (container images) περισσότερες από έξι ώρες πριν από τη συντονισμένη κυκλοφορία, ανέφερε το ίδρυμα. Η Amazon Web Services Amazon.com, Inc. ↘ 0.95% κατέγραψε μια απόπειρα εκμετάλλευσης με ημερομηνία 17 Οκτωβρίου. Η Unit 42 μέτρησε περισσότερες από 22,6 εκατομμύρια εκτεθειμένες εγκαταστάσεις που ενδέχεται να είναι ευάλωτες. Παρατήρησε επίσης επιτιθέμενους να χρησιμοποιούν εργαλεία τεχνητής νοημοσύνης μετά την παραβίαση, συμπεριλαμβανομένης μιας επίθεσης σε ευρωπαϊκό κυβερνητικό φορέα που απέκτησε πρόσβαση σε κατακερματισμένους κωδικούς πρόσβασης (password hashes) μέσα σε δύο ώρες.unit42.paloaltonetworks.com+1

Έξαρση σφαλμάτων από AI

Η OpenAI δήλωσε ότι τα κενά της PHP συγκαταλέγονται μεταξύ αρκετών σημαντικών ευπαθειών που έχει εντοπίσει και αναμένει ότι «παρόμοια ευρήματα θα αυξηθούν απότομα», όπως συνοψίστηκε από το Techmeme. Το Bloomberg ανέφερε ότι τράπεζες, αεροπορικές εταιρείες και κυβερνήσεις έθεσαν ιστοσελίδες εκτός λειτουργίας για προληπτικούς λόγους. Ανέφερε επίσης ότι ένα στέλεχος της Anthropic προειδοποίησε πως τέτοιες διαταραχές «θα χειροτερέψουν πολύ πριν βελτιωθούν».news.bloomberglaw.com+1

Η ομάδα ασφαλείας του PHP Foundation έχει δημοσιεύσει 15 CVE από την 1η Ιουλίου. Κατά την ίδια περίοδο, επεξεργάστηκε περισσότερες από 100 αναφορές που ήταν άκυρες, διπλότυπες ή δεν μπορούσαν να αναπαραχθούν, ανέφερε το TechRound.techround.co.uk

Το EFF ζητά εταιρική χρηματοδότηση

Σε ανάρτηση που δημοσιεύθηκε στις 23 Οκτωβρίου, το Electronic Frontier Foundation ανέφερε ότι υποβλήθηκαν 13.000 νέα CVE μόνο τον Οκτώβριο. Απέδωσε την αύξηση «σχεδόν εξ ολοκλήρου» στα μοντέλα AI από την Anthropic, την OpenAI και την Google. Η οργάνωση δήλωσε ότι περισσότερες από 33 εκατομμύρια ιστοσελίδες εξακολουθούσαν να χρησιμοποιούν ευάλωτες εκδόσεις PHP. Πρόσθεσε ότι οι συντηρητές, αντιμετωπίζοντας έναν «κατακλυσμό» αναφορών, βιώνουν πρωτοφανή εξάντληση.eff.org

«Οι εταιρείες (των οποίων τα προϊόντα δεν θα υπήρχαν χωρίς αυτά τα λογισμικά) θα έπρεπε να συνεισφέρουν ενεργά στη συντήρησή τους», έγραψε το EFF.eff.org