AI-assisterad forskning hittar långvariga sårbarheter i PHP

Två kritiska sårbarheter i PHP offentliggjordes efter att forskare från OpenAI och säkerhetsföretaget Wiz hittat brister med hjälp av AI-verktyg. PHP Foundation har släppt korrigeringar, och USA:s nationella säkerhetsmyndighet varnade för att webbplatser som inte kan installera dem omedelbart bör tas offline tills det går.

Bristerna kan ge angripare åtkomst till en servers filsystem eller en databas som en webbapplikation använder. De fanns i alla PHP-versioner sedan version 5, som släpptes 2004. PHP driver ungefär 70 % av webbplatserna, och enligt vissa uppskattningar används det på fler än 33 miljoner webbplatser. WordPress använder också PHP, men uppgav att sårbarheterna inte är specifika för dess programvara. Berörda webbplatser behöver uppdatera sina servrar.

PHP 8.1 och äldre versioner stöds inte längre. Källan rekommenderar uppdatering till PHP 8.5.12. OpenAI uppgav att forskare hittade bristerna innan hackare gjorde det och att inga attacker där de utnyttjats hade rapporterats.

OpenAI uppgav att Calif hittade en av bristerna med GPT-5.6 Sol inom initiativet ”Patch the Planet”. Wiz sade separat att teamet använde säkerhetsagenten Wiz Atlas, Gemini 4 Argon och GPT-5.6 Sol för att hitta flera sårbarheter. Företagen samarbetade med PHP om korrigeringar före offentliggörandet. Wiz tackade Automattic, Akamai, AWS, Cloudflare, Fastly, Imperva, Microsoft och Vercel för hjälpen.

Wiz varnade för att AI kan underlätta exploatering genom att hjälpa till att anpassa en exploit till olika PHP-versioner, konfigurationer och minneslayouter. I och med offentliggörandet har sårbarheterna blivit kända, samtidigt som många webbplatser kan behöva installera korrigeringarna.