EFF krever bedriftsstøtte etter AI-funn av PHP2Shell-sårbarheter

To kritiske sårbarheter i PHP, programmeringsspråket som driver en stor del av nettet, ble rettet onsdag 21. oktober. OpenAI opplyser at deres GPT-5.6 Sol-modell bidro til å avdekke dem. Sårbarhetene, CVE-2026-109618 og CVE-2026-109619, er samlet kjent som PHP2Shell. Begge er feil for fjernkjøring av kode med en CVSS 4.0-skåre på 9,2, ifølge Palo Alto Networks' Unit 42 ↗ 7.22%. Nå advarer forkjempere for digitale rettigheter og bransjeaktører om at AI-drevet feilsøking produserer flere sårbarheter enn de frivillige som vedlikeholder åpen kildekode-programvare kan håndtere.eff.org

En forhastet offentliggjøring

PHP Foundations tidslinje viser at Calif sendte inn den første rapporten 11. august. Wiz flagget deretter overlappende problemer 24. august, og OpenAI rapporterte uavhengig om samme rotårsak 18. september, melder TechRound. OpenAI uttalte at Calif fant en av feilene med GPT-5.6 Sol gjennom sitt Patch the Planet-program, melder Mashable. Wiz Alphabet Inc. ↘ 1.08% opplyste at de brukte egne verktøy sammen med Googles Gemini 4 Argon og GPT-5.6 Sol, ifølge ABC7.techround.co.uk+2

Oppdateringer for PHP 8.5.12, 8.4.27, 8.3.36 og 8.2.35 kom ut en dag tidligere enn planlagt etter at CVE-ID-ene lekket på nett 20. oktober. Chainguard publiserte også fiksede container-bilder mer enn seks timer før den koordinerte utgivelsen, opplyser stiftelsen. Amazon Web Services Amazon.com, Inc. ↘ 0.95% rapporterte om et utnyttelsesforsøk datert 17. oktober. Unit 42 telte mer enn 22,6 millioner eksponerte instanser som kan være sårbare. De observerte også angripere som brukte agentbaserte AI-verktøy etter inntrengning, inkludert et angrep på en europeisk offentlig instans som nådde passord-hasher i løpet av to timer.unit42.paloaltonetworks.com+1

Bølge av AI-funnede feil

OpenAI uttalte at PHP-feilene er blant flere betydelige sårbarheter de har funnet, og de forventer at "lignende funn vil øke kraftig," oppsummert av Techmeme. Bloomberg meldte at banker, flyselskaper og myndigheter tok nettsider offline som et sikkerhetstiltak. De rapporterte også at en leder i Anthropic advarte om at slike forstyrrelser vil "bli mye verre før de blir bedre."news.bloomberglaw.com+1

PHP Foundations sikkerhetsteam har publisert 15 CVE-er siden 1. juli. I samme periode har de behandlet mer enn 100 rapporter som var ugyldige, duplikater eller ikke lot seg reprodusere, melder TechRound.techround.co.uk

EFF krever bedriftsstøtte

I et innlegg publisert 23. oktober uttalte Electronic Frontier Foundation at 13 000 nye CVE-er ble sendt inn bare i oktober. De tilskrev økningen "nesten utelukkende" til AI-modeller fra Anthropic, OpenAI og Google. Gruppen sa at mer enn 33 millioner nettsider fortsatt kjørte sårbare PHP-versjoner. De la til at vedlikeholdere som står overfor en "flom" av rapporter, opplever rekordhøy utbrenthet.eff.org

"Selskaper (hvis produkter ikke ville eksistert uten disse produktene) bør aktivt bidra til vedlikeholdet av dem," skrev EFF.eff.org