Wykryto poważną lukę w PHP, czyli w języku programowania, na którym stoi ogromna część internetu. Apel do właścicieli stron był bardzo stanowczy. Mieli od razu zainstalować poprawkę. Kto nie mógł tego zrobić od ręki, miał na wszelki wypadek wyłączyć swoją witrynę. W efekcie z sieci znikały strony rządowe, a nawet popularne serwisy na chwilę przechodziły w tryb offline.
Najbardziej zaskakuje wiek błędu. Luka istniała w PHP od dziesięcioleci i nikt jej nie zauważył. Znaleźli ją ludzie, a nie maszyny. Byli to badacze z inicjatywy Hack the Planet, prowadzonej przez OpenAI i firmę Wiz, która należy dziś do Google. Do wykorzystania błędu użyli już jednak narzędzi AI. Sean O’Kane z TechCrunch ocenił, że fundamenty internetu trzymają się na „kleju i marzeniach”.
Co to znaczy dla Ciebie?
PHP działa w tle systemów do zarządzania treścią, takich jak WordPress czy Drupal. Według dziennikarzy TechCrunch korzysta z niego około 70% stron, czyli dziesiątki milionów witryn. Wielu właścicieli nawet nie wie, że ich strona opiera się na PHP. Dotyczy to też polskich firm, blogów, sklepów i stron lokalnych stowarzyszeń.
- Masz stronę na WordPressie lub podobnym systemie? Zapytaj firmę hostingową albo swojego informatyka, czy PHP na serwerze ma już poprawkę.
- Nie masz kontroli nad serwerem? Rozważ tymczasowe wyłączenie strony. Tak właśnie radzono w komunikacie.
- Jesteś tylko internautą? Jeśli ulubiona strona nagle przestała działać, możliwe, że właściciel ją łata. Może się też zdarzyć, że już nie wróci.
Ten ostatni punkt to osobny problem. Serwis 404 Media zwrócił uwagę, że wiele małych stron zostanie wyłączonych zamiast naprawionych. Część linków przestanie działać, a w sieci przepadnie kawałek historii.
Tło: wyścig z hakerami
Zwykle badacz, który znajdzie błąd, po cichu zgłasza go jednej firmie. Tutaj tak się nie dało, bo PHP używają miliony niezależnych właścicieli stron. Jedynym sposobem na rozesłanie poprawki było publiczne ogłoszenie luki. To z kolei uruchomiło wyścig. Część osób złamała embargo, czyli ustalony termin publikacji, przed oficjalnym ogłoszeniem. Matthew Prince, szef Cloudflare, napisał o milionach prób ataku z użyciem metody PHP2Shell. Amazon prowadzi sieć pułapek na hakerów, tzw. honeypotów. Jego zespół zauważył próby wykorzystania luki jeszcze przed jej ujawnieniem.
Eksperci widzą w tym zapowiedź kolejnych kłopotów. Każdy ma dziś dostęp do dużych modeli językowych (LLM) i może tworzyć agentów AI, czyli programy, które samodzielnie wykonują zadania. Dzięki temu szukanie starych błędów stanie się znacznie łatwiejsze, także dla przestępców. Duże firmy, jak Amazon, mają ludzi i pieniądze, żeby się bronić. Małe witryny i urzędy często ich nie mają. Dziennikarze TechCrunch spodziewają się nowych startupów od bezpieczeństwa oraz szerszego użycia otwartych narzędzi ochronnych.
Czytaj dalej
Włamanie do ConnectWise: hakerzy z Chin użyli agentów AI
Chińscy hakerzy włamali się do usługi kopii zapasowych ConnectWise. Potem w kilka chwil weszli do systemów około 2250 firm, bo w ataku pomagali im agenci AI.
Samodoskonaląca się AI w 2027? Jack Clark przyspiesza prognozę
Współzałożyciel Anthropic Jack Clark uważa, że AI zdolna do tworzenia własnych następców może pojawić się już w 2027 roku. Opiera się na nowym teście TasteVal, w którym model Claude Opus 5.5 wypadł lepiej niż ludzcy eksperci.
Halucynacje AI pod kontrolą: skąd się biorą i jak je wyłapać
Model AI potrafi z pełnym przekonaniem podać nieistniejące badanie, zmyślony przepis prawa albo fałszywą datę. Halucynacje AI nie znikną, ale można nauczyć się je przewidywać i wyłapywać.