PHP varar við þriðja gallanum á meðan heimurinn reynir að uppfæra

Stjórnvöld, skýjaþjónustur og rekstraraðilar vefsíðna um allan heim flýttu sér í vikunni að uppfæra tvo alvarlega galla í PHP, forritunarmálinu sem knýr stóran hluta vefsins, eftir að rannsakendur með aðstoð gervigreindar fundu þá. PHP Foundation gaf út neyðarlausnir miðvikudaginn 21. október og sagði að "öllum PHP notendum sé eindregið ráðlagt að uppfæra strax," á meðan OpenAI sagði að GPT-5.6 Sol líkanið hafi hjálpað til við að finna gallana.bbc.com

Gallarnir, sem eru skráðir sem CVE-2026-109618 og CVE-2026-109619 og kallaðir "PHP2Shell," geta leyft árásaraðilum að keyra kóða á netþjóni án þess að skrá sig inn. Báðir eru metnir á 9.2 á CVSS kvarðanum. Lagfæringar fylgdu með í PHP 8.5.12, 8.4.27, 8.3.36 og 8.2.35. Gallarnir ná aftur til næstum hverrar útgáfu síðan 5.4, og PHP 8.1 og eldri fá engar opinberar lagfæringar. Wiz áætlar að PHP knýi um 70% vefsíðna og W3Techs setur töluna í 75%.cbc.ca+2

Síður fara niður þegar árásum fjölgar

Bandaríska þjóðaröryggisstofnunin (NSA) sagði stofnunum sem geta ekki uppfært strax að taka kerfi sín úr sambandi við netið. Breska netöryggismiðstöðin gaf svipað ráð og Sanae Takaichi, forsætisráðherra Japans, hvatti eigendur síðna til að "grípa til aðgerða í kvöld," að því er BBC greindi frá. Wikimedia, finnska ríkisstjórnin og hollensk netöryggisyfirvöld tóku kerfi úr sambandi, sem og nokkrar kanadískar héraðsstjórnir.bbc.com+1

Matthew Prince, forstjóri Cloudflare ↗ 7.29%, sagði að tilraunir til árása á netkerfi þeirra hafi farið úr þúsundum fyrir tilkynninguna í "milljónir núna." Amazon Amazon.com, Inc. ↘ 0.95% sagði að ráðist hafi verið á þá dögum fyrir birtingu en síður þeirra héldu áfram að virka eðlilega. Birting var áætluð 22. október, en upplýsingar láku á netið 20. október, svo uppfærslurnar komu út dag fyrr. Á föstudaginn 23. október varaði PHP við þriðja, minna hættulega gallanum, CVE-2026-115560, sem verður lagaður í reglulegri útgáfu.securityweek.com+2

Hlutverk gervigreindar við uppgötvunina

OpenAI sagði að öryggisfyrirtækið Calif hafi fundið einn galla með GPT-5.6 Sol í gegnum "Patch the Planet" áætlun sína. Wiz fann og tilkynnti báða gallana sjálft. Wiz notaði nokkur gervigreindartól, þar á meðal Atlas umboðsmann sinn, Gemini 4 Argon og GPT-5.6 Sol, samkvæmt TechCrunch. Greg Brockman, forseti OpenAI, sagði að gallinn hefði verið í PHP í 14 ár og takmörkuð útgáfa sem fannst árið 2024 var ekki talin alvarleg. OpenAI kallaði þetta "einn áhrifamesta veikleika í minni tíð." Fyrirtækið gaf einnig út PHP útgáfueftirlitsforrit og hét 1 milljarði dollara í niðurgreiddan aðgang að Daybreak áætlun sinni fyrir varnaraðila.openai.com+4

Skipulagslegar spurningar

PHP Foundation kallaði seinkunina á að laga vandamálið frá 2024 "skipulagsbrest" vegna takmarkaðra auðlinda. Þeir sögðu við CBC að þeir hefðu engar vísbendingar séð um árangursríkar árásir. CERT á Indlandi sagði hins vegar að margar skýrslur bendi til stórfelldra árása í raunveruleikanum.csk.gov.in+1

"Undirliggjandi gallar voru ekki nýir; það sem breyttist var geta okkar til að finna þá," sagði Salil Kanhere, rannsakandi við UNSW Sydney, við BBC.bbc.com