Kritiske PHP-feil funnet med AI: oppdater serverne nå

TL;DR

PHP ga 21. oktober ut rettelser for to kritiske feil som gjør at en angriper kan kjøre kode på serveren uten å logge inn. Ifølge OpenAI fant sikkerhetsforskerne i Calif den ene med GPT-5.6 Sol, mens sikkerhetsselskapet Wiz uavhengig fant begge. OpenAI ledet i to måneder en koalisjon som forberedte rettelsene, og foreslår nå en fast prosess for slike funn.

Hva skjedde?

Feilene ligger i selve PHP, språket bak blant annet WordPress. Dermed er alle som kjører en versjon før rettelsene utsatt, uavhengig av applikasjon. Begge feilene har fått 9,2 av 10 på . Rettelsene er tilgjengelige i PHP 8.2.35, 8.3.36, 8.4.27 og 8.5.12. PHP 8.1 og eldre er utgått og får ingen rettelse.

Ifølge OpenAI ble feilene oppdaget før angripere fikk kjennskap til dem. Det ga vedlikeholderne tid til å forberede rettelser. Samtidig påpeker OpenAI at den samme evnen hjelper angripere med å lage utnyttelseskode raskt.

Hva foreslår OpenAI?

OpenAI foreslår fem trinn, fordi en rettelse ikke beskytter noen før den er tatt i bruk. Først bekrefter og retter vedlikeholderne feilen, og tester med AI-modeller for å finne omveier. Deretter får utvalgte aktører forhåndsvarsel: distributører tilpasser rettelsen til eldre versjoner, og sikkerhetsselskaper lager midlertidig beskyttelse som -regler. Myndigheter som det amerikanske CISA hjelper veiledningen å nå kritisk infrastruktur, og til slutt publiseres veiledning for utrulling.

Hva kan vi lære?

Tiden fra funn til angrep kan bli kortere, så evnen til å oppdatere raskt blir et krav. OpenAI forventer at slike funn øker kraftig de neste månedene.

Finn PHP-versjonen på hver server i dag, også i kontrollpaneler og applikasjoner som har sin egen PHP. Oppdater til 8.2.35, 8.3.36, 8.4.27, 8.5.12 eller nyere, og flytt alt som kjører på 8.1 eller eldre til en støttet versjon. OpenAI har publisert en PHP-versjonssjekker som Codex-skill.

Kilde: openai.com