Modele AI wykryły, jak podaje OpenAI, „jeden z najpoważniejszych” błędów bezpieczeństwa ostatnich lat, ukryty w PHP od ponad dekady. Na całym świecie wyłączano strony, od trackera snu Pokémon po holenderski parlament, by wyprzedzić hakerów.
Sztuczna inteligencja ujawniła dwa krytyczne błędy bezpieczeństwa w PHP, języku programowania, który po cichu napędza większość internetu. W efekcie organizacje na całym świecie gorączkowo wyłączają swoje strony, zanim hakerzy zdążą wykorzystać luki.
REKLAMA
REKLAMA
Błędy tkwiły w kodzie PHP ponad dekadę, pozostając niezauważone. Dopiero najnowsze modele AI od OpenAI i Google zamieniły od dawna podejrzewaną słabość w działający atak – i teraz trwa wyścig, by zatrzasnąć drzwi.
W obliczu szybkiego rozwoju możliwości sztucznej inteligencji i obaw przed nową erą cyberataków, warto wiedzieć, co się dzieje.
Europa reaguje
Holandia wyłączyła swój system cyfrowej tożsamości DigiD, portal rządowy Overheid.nl oraz stronę izby niższej parlamentu. W ślad za tym poszły Port Rotterdam, szpitale oraz pięć największych partii politycznych w kraju.
Nawet Holenderskie Narodowe Centrum Cyberbezpieczeństwa odłączyło własną stronę.
Fiński państwowy dostawca usług IT Valtori wstrzymał działanie wszystkich serwisów rządowych „z ostrożności”, francuskie Ministerstwo Spraw Wewnętrznych przełączyło lokalne strony administracji w tryb konserwacji, a niemiecka federalna służba IT ITZBund wyłączyła kilka portali.
CERT-EU, czyli zespół ds. cyberbezpieczeństwa instytucji UE, poszedł dalej niż większość, zalecając organizacjom, które nie mogą natychmiast zastosować poprawek, całkowite wyłączenie stron, zamiast ryzykować włamanie.
Komisja Europejska, ENISA, CERT-EU, Europol oraz sieć krajowych zespołów reagowania na incydenty cybernetyczne w UE wydały też wspólne oświadczenie, wzywając organizacje do natychmiastowych działań i priorytetowego zabezpieczenia systemów wystawionych do internetu.
Czym jest PHP i dlaczego ma znaczenie?
PHP powstało na początku lat 90. Nazwa początkowo oznaczała Personal Home Page. Według firmy badawczej Wiz Research kod ten pracuje za kulisami na ok. siedmiu z dziesięciu stron internetowych, co czyni go „kręgosłupem sieci”.
Podczas gdy języki takie jak HTML odpowiadają za to, co widzimy na stronie, PHP obsługuje to, czego nie widać: sprawdza logowanie, przetwarza płatności, serwuje treści.
Na PHP opierają się WordPress, Drupal i Joomla – platformy wykorzystywane zarówno przez prywatne blogi, jak i sklepy internetowe oraz portale administracji publicznej.
Ta skala zasięgu sprawia, że dwa błędy stają się wydarzeniem o globalnym znaczeniu. Wiz podał, że każda wersja PHP wydana w ostatniej dekadzie jest podatna przynajmniej na jedną z luk, a nawet najprostsza strona „Hello World” na niezaktualizowanym serwerze może być narażona.
W środę opublikowano poprawkę, a Fundacja PHP przekazała działom IT na całym świecie, że „jeśli korzystacie z PHP, absolutnie musicie zaktualizować system teraz”.
Załatane wersje to PHP 8.5.12, 8.4.27, 8.3.36 i 8.2.35. Wszystko, co starsze, nie dostaje już oficjalnych aktualizacji i należy traktować jako podatne, chyba że dostawca sam wprowadził poprawkę do starej wersji – ostrzegł w komunikacie CERT-EU, unijny zespół reagowania na cyberkryzysy.
W efekcie fala aplikacji i stron zaczęła gasnąć, od strony paryskiej policji po tracker snu dla graczy Pokémon, gdy programiści łatają działający w tle kod. W ramach ostrożności wyłączono też wiele serwisów administracji publicznej w całej Europie.
Jak AI wykryła te luki?
Obie podatności, oznaczone jako CVE-2026-109618 i CVE-2026-109619 oraz ocenione na 9,2 na 10 w skali powagi, znajdują się w częściach PHP, przez które przechodzi niemal każde żądanie: w zarządzaniu pamięcią i obsłudze błędów.
Jeżeli żądanie internetowe trafi w limit pamięci PHP w dokładnie nieodpowiednim momencie, oprogramowanie można skłonić do uruchomienia kodu atakującego bez jakiegokolwiek logowania.
Fundacja PHP przyznaje, że jej własny zespół deweloperski zauważył pierwsze oznaki problemu już w 2024 roku, podczas zewnętrznego audytu.
Naszkicowano teoretyczny scenariusz ataku, ale bez konkretnej ścieżki jego przeprowadzenia, przy niewielkim, kluczowym zespole rozważającym koszty i korzyści wdrożenia poprawki, prace przez miesiące raz stawały, raz ruszały na nowo. Fundacja nazwała tę zwłokę „błędem strukturalnym”.
Potem do gry weszła sztuczna inteligencja. W sierpniu firma bezpieczeństwa Calif, prowadząca finansowany przez OpenAI audyt kodu źródłowego PHP i używająca modelu GPT-5.6 Sol, zgłosiła w pełni działający, zdalny atak oparty na tym samym źródle problemu.
OpenAI niezależnie wychwyciła ten sam błąd tego samego dnia. Dwa tygodnie później Wiz zaprezentował kolejne wektory ataku, korzystając z własnego narzędzia Wiz Atlas, a także z modeli Google Gemini 4 Argon i GPT-5.6 Sol.
„Dzięki najbardziej zaawansowanym modelom AI i odpowiednim narzędziom jeden badacz w tydzień zrobił to, co wcześniej zajmowało zespołowi światowej klasy kilka miesięcy pracy” – napisali badacze Wiz.
OpenAI nazwała odkrycie „jedną z najbardziej brzemiennych w skutki podatności w ostatnim czasie” i dodała, że „oznacza ono nowy etap, w którym AI może znajdować luki bezpieczeństwa o skali całego internetu”.
Wyniki badań pozostawały niejawne, dopóki nie przygotowano poprawki.
We wtorek po południu identyfikatory dwóch luk CVE wyciekły jednak na fora internetowe i do mediów społecznościowych.
PHP przyspieszyło premierę aktualizacji o jeden dzień, a firma Calif omyłkowo opublikowała – a następnie skasowała – nagranie pokazujące działanie dowodu koncepcji przeciwko kilku celom, poinformowała Fundacja PHP. Kopie filmu natychmiast zaczęły krążyć w sieci.
„Problem z narzędziami takimi jak AI polega na tym, że gdy tylko wszystkie informacje trafią do publicznej przestrzeni, ludzie mogą bardzo, bardzo szybko zamienić je w broń” – powiedział AFP Steve Kerrison, wykładowca cyberbezpieczeństwa na kampusie uniwersytetu James Cook w Singapurze.
„Dlatego wszyscy reagują z taką nagłością na ten incydent”.
Czy strony już zostały zhakowane?
Niekoniecznie. „Samo wyłączenie stron internetowych nie musi oznaczać, że zostały zhakowane. Może być odpowiedzialnym krokiem, który ma chronić systemy w czasie wdrażania aktualizacji bezpieczeństwa” – wyjaśnił Dimitrios Salampasis z Politechniki Swinburne w Australii.
Fundacja PHP przekazała, że jej zespół ds. bezpieczeństwa przeanalizował kod dowodu koncepcji krążący po wycieku i w momencie publikacji nie znalazł działającego exploit'u.
„Z sygnałów, które widzą badacze bezpieczeństwa, wynika, że nikt aktywnie nie prowadził ataków z użyciem dostępnych technik” – powiedział Kerrison.
Obraz sytuacji szybko się jednak zmienia. Firma Cloudflare, dostawca infrastruktury sieciowej, poinformowała w środę, że zaobserwowała ruch atakujący jej klientów, a CERT-EU ostrzegł, że upublicznienie technicznych szczegółów zwiększa prawdopodobieństwo, iż atakujący już badają te luki.
Większe instytucje, od agencji rządowych po media, powinny być w stanie stosunkowo szybko wprowadzić poprawki. Inni mogą pozostać odsłonięci znacznie dłużej.
„Istnieją strony, systemy i ludzie, którzy nie mają o tym żadnego pojęcia i jeszcze długo mieć nie będą – przez dni, tygodnie, a nawet miesiące” – ostrzegł Kerrison.
W tę grupę mogą wchodzić prowadzone przez użytkowników blogi i strony małych firm, które hakerzy mogą przejąć, by rozsyłać wirusy komputerowe, spam lub hostować złośliwe treści.
Jakie mogą być dalsze konsekwencje?
Każde naruszenie danych może wrócić do klientów jak bumerang długo po wgraniu łatki, jeśli ich dane osobowe zostaną wykorzystane do ataków phishingowych, czyli prób wyłudzenia haseł lub danych płatniczych.
Splątana, wzajemnie powiązana struktura systemów online oznacza też, że ryzyko nie znika w momencie aktualizacji własnego serwera. Wiele stron opiera się na usługach zewnętrznych, które także mogą działać na PHP.
Jeśli te podmioty zewnętrzne wolno wprowadzą poprawki, „to nawet jeśli wgraliście je u siebie… nadal nie jesteście bezpieczni” – powiedziała Rahat Masood, wykładowczyni cyberbezpieczeństwa na Uniwersytecie Nowej Południowej Walii w Sydney.
PHP to nie cały obraz, dodał Kerrison. Skuteczne cyberbezpieczeństwo opiera się na kilku warstwach obrony, tak by jedno zepsute zamki nie otwierały wszystkich drzwi.
Fundacja PHP wykorzystuje ten kryzys, by wystosować wyraźny apel. Język ten obsługuje usługi administracji publicznej, banków i sklepów internetowych na całym świecie, a jego bezpieczeństwo wciąż spoczywa na barkach niewielkiej grupy opłacanych przez fundację deweloperów i wolontariuszy.
Jak podkreślono, narzędzia potrafią dziś znajdować błędy szybciej niż kiedykolwiek, ale decyzja, jak je naprawić, nie psując przy tym działania sieci, wymaga doświadczonych inżynierów.