AI-modellek tárták fel azt, amit az OpenAI „az egyik legjelentősebb” biztonsági hibának nevez: a PHP-ben több mint egy évtizede rejtőzött. A Pokémon alváskövetőtől a holland parlamentig világszerte sötétültek el oldalak, hogy megelőzzék a hekkereket.
A mesterséges intelligencia két kritikus biztonsági hibát tárt fel a PHP-ben, abban a programozási nyelvben, amely csendben az internet nagy részét működteti, és ezzel világszerte szervezeteket késztetett arra, hogy sietve leállítsák weboldalaikat, mielőtt a hackerek kihasználhatnák azokat.
HIRDETÉS
HIRDETÉS
A hibák több mint egy évtizeden át észrevétlenül lapultak a PHP kódjában. Ehhez az OpenAI és a Google legfejlettebb MI-modelljeire volt szükség, hogy egy régóta sejtett gyengeségből működő támadás legyen – most pedig versenyfutás kezdődött az idővel, hogy bezárják a kiskaput.
Miközben a mesterséges intelligencia rohamosan fejlődő képességei új kibertámadási korszak miatti aggodalmakat keltenek, íme, mit érdemes tudnia.
Európa reagál
Hollandia leállította a DigiD digitálisazonosító-rendszert, az Overheid.nl kormányzati portált és az alsóház honlapját, és követte a példát a Rotterdami Kikötő, kórházak és az ország öt legnagyobb politikai pártja is.
Még a Holland Nemzeti Kiberbiztonsági Központ is levette a saját oldalát.
Finnország állami informatikai szolgáltatója, a Valtori elővigyázatossági intézkedésként teljes egészében lekapcsolta a kormányzati webszolgáltatásokat, Franciaország belügyminisztériuma karbantartási módba állította az önkormányzati oldalakat, Németország szövetségi informatikai szolgáltatója, az ITZBund pedig több portált is leállított.
Az uniós intézmények kiberbiztonsági szolgálata, a CERT-EU a legtöbbnél tovább ment: azt tanácsolta, hogy azok a szervezetek, amelyek nem tudják azonnal telepíteni a javítást, inkább vegyék le weboldalaikat a hálózatról, minthogy vállalják a feltörés kockázatát.
Az Európai Bizottság, az ENISA, a CERT-EU, az Europol és az uniós nemzeti kiberreakciós csapatok hálózata közös közleményt is kiadott, amelyben azonnali lépésekre szólították fel a szervezeteket, elsőbbséget adva az internet felé nyitott rendszereknek.
Mi az a PHP, és miért fontos?
Az 1990-es évek elején létrehozott PHP neve eredetileg a Personal Home Page rövidítése volt, és a Wiz Research biztonsági cég szerint ma is az a kód, amely a háttérben körülbelül tízből hét weboldalt működtet; a cég a nyelvet „a web gerincének” nevezi.
Míg a HTML-hez hasonló nyelvek azt kezelik, amit Ön a képernyőn lát, a PHP azt, amit nem lát: például a bejelentkezések ellenőrzését, a fizetések feldolgozását, a tartalom kiszolgálását.
A PHP a WordPress, a Drupal és a Joomla alapja, vagyis azoké a platformoké, amelyek a személyes blogoktól az online áruházakon át egészen a kormányzati portálokig rengeteg webhelyet működtetnek.
Éppen ez az elterjedtség teszi a két hibát globális üggyé. A Wiz közölte, hogy az elmúlt évtizedben kiadott minden PHP-verzió érintett legalább az egyik sérülékenység által, és még egy pusztán „Hello World” feliratot megjelenítő oldal is sebezhető lehet egy nem frissített szerveren.
A javítást szerdán tették közzé, a PHP Alapítvány pedig világszerte azt üzente az informatikai részlegeknek, hogy „ha PHP-t futtatnak, elengedhetetlen, hogy azonnal frissítsenek”.
A javított verziók: PHP 8.5.12, 8.4.27, 8.3.36 és 8.2.35. Minden régebbi kiadás hivatalosan már nem kap frissítéseket, ezért úgy kell tekinteni, hogy ki van téve a kockázatnak, hacsak a gyártó nem portolta vissza a javítást – figyelmeztetett egy tájékoztatásban az Európai Unió kiberbiztonsági vészhelyzeti reagáló csapata (CERT-EU).
Az eredmény: alkalmazások és weboldalak hulláma sötétült el, a párizsi rendőrség honlapjától egy Pokémon-alváskövetőig, miközben a fejlesztők foltozzák az alapul szolgáló kódot. Európa-szerte kormányzati oldalakat is megelőző jelleggel kapcsoltak le.
Hogyan találta meg az MI a hibákat?
A két sérülékenységet, amelyet CVE-2026-109618 és CVE-2026-109619 azonosítószám alatt tartanak nyilván, és amelyek súlyosságát 10-ből 9,2-re értékelték, a PHP azon részeiben találták, amelyeket szinte minden kérés érint: a memóriakezelésben és a hibakezelésben.
Ha egy webes kérés a legrosszabb pillanatban éri el a PHP memóriakorlátját, a szoftver rávehető arra, hogy a támadó kódját futtassa – anélkül, hogy bárki bejelentkezne.
A PHP Alapítvány elismerte, hogy a problémára utaló jeleket először saját fejlesztői vették észre 2024-ben, egy külső audit során.
Elméleti támadási forgatókönyvet már felvázoltak, de mivel nem látszott konkrét út egy gyakorlati támadáshoz, és a nagyon szűk magcsapatnak a javítás előnyeit és kockázatait kellett mérlegelnie, a munka hónapokra elakadt, majd újraindult. Az alapítvány ezt „strukturális kudarcnak” nevezte.
Ezután lépett be a képbe a mesterséges intelligencia. Augusztusban a Calif nevű biztonsági cég – amely az OpenAI által finanszírozott auditot végzett a PHP forráskódján, az OpenAI GPT-5.6 Sol modelljét használva – egy teljes mértékben működő, távoli támadást jelentett, ugyanazzal a gyökérokokkal.
Az OpenAI ugyanazt a problémát még aznap önállóan is jelezte. A Wiz két héttel később további támadási vektorokkal állt elő, saját Wiz Atlas eszköze, valamint a Google Gemini 4 Argon és a GPT-5.6 Sol segítségével.
„A legfejlettebb MI-modellekkel és a megfelelő eszközökkel egyetlen kutató egy hét alatt elvégzett olyasmit, amihez korábban egy világszínvonalú csapatnak hónapokra lett volna szüksége” – írták a Wiz kutatói.
Az OpenAI a felfedezést „az utóbbi idők egyik legjelentősebb sérülékenységének” nevezte, hozzátéve, hogy „egy új szakasz kezdete, amikor az MI az egész internetet érintő biztonsági hibákat tud feltárni”.
A megállapításokat titokban tartották, amíg el nem készült a javítás.
Kedden délután azonban a két CVE-azonosító kiszivárgott online fórumokra és a közösségi médiába.
A PHP egy nappal előbbre hozta a kiadást, és a PHP Alapítvány szerint a Calif véletlenül közzétett – majd törölt – egy videót, amelyben több célpont ellen is bemutatta a működő bizonyító erejű támadást. A másolatok gyorsan elterjedtek.
„Az olyan eszközökkel, mint az MI, az a gond, hogy amint minden információ nyilvánosságra kerül, nagyon-nagyon gyorsan fegyverként használhatják” – mondta Steve Kerrison, a Szingapúrban működő James Cook Egyetem kiberbiztonsági tanszékének vezető oktatója az AFP-nek.
„Ezért reagál most mindenki ilyen sürgősen erre a problémára.”
Már feltörtek oldalakat?
Nem feltétlenül. „Az, hogy weboldalakat vesznek le a hálózatról, nem feltétlenül jelenti azt, hogy azokat feltörték. Ez felelős lépés is lehet a rendszerek védelmére, amíg a biztonsági frissítéseket alkalmazzák” – mondta Dimitrios Salampasis, az ausztrál Swinburne Műszaki Egyetem munkatársa.
A PHP Alapítvány közölte, hogy biztonsági csapata átvizsgálta a kiszivárgás után terjedő, bizonyító erejű támadókódot, és a kiadás időpontjában nem talált működő exploitot.
„A biztonsági kutatók jelenlegi bizonyítékai szerint senki sem folytatott aktív támadásokat az elérhető technikák felhasználásával” – mondta Kerrison.
A helyzet azonban gyorsan változik. A webes infrastruktúraszolgáltató Cloudflare szerdán közölte, hogy ügyfelei ellen irányuló támadási forgalmat észlelt, a CERT-EU pedig figyelmeztetett: az, hogy a technikai részletek nyilvánosságra kerültek, növeli annak valószínűségét, hogy a támadók már most is keresik a hibákat.
A nagyobb intézmények – a kormányzati szervektől a médiaszervezetekig – várhatóan viszonylag gyorsan tudnak majd javítani. Mások viszont jóval hosszabb ideig maradhatnak kitéve a kockázatnak.
„Vannak olyan oldalak, rendszerek és emberek, akiknek fogalmuk sincs erről, és napokig, hetekig, hónapokig nem is lesz” – figyelmeztetett Kerrison.
Köztük lehetnek felhasználók által működtetett blogok és kisvállalkozások weboldalai is, amelyeket a hackerek átvehetnek, hogy számítógépes vírusokat terjesszenek, spamet küldjenek vagy rosszindulatú tartalmakat helyezzenek el rajtuk.
Lehetnek más következmények is?
Bármilyen adatvédelmi incidens később is visszaüthet a felhasználókra, ha a személyes adataikat adathalász-támadásokhoz használják fel – vagyis hogy rávegyék őket, adják ki jelszavukat vagy fizetési adataikat.
Az online rendszerek kusza, egymásba fonódó természete azt is jelenti, hogy a kockázat nem szűnik meg azzal, ha Ön frissíti a saját szerverét. Sok oldal harmadik féltől származó szolgáltatásokra támaszkodik, amelyek maguk is futhatnak PHP-n.
Ha ezek a harmadik felek lassan telepítik a javítást, „akkor még ha Ön frissített is... továbbra sem biztonságos” – mondta Rahat Masood, a Sydney-ben működő Új-Dél-Walesi Egyetem kiberbiztonsági tanszékének vezető oktatója.
A PHP azonban nem az egész történet – tette hozzá Kerrison. A jó kiberbiztonság több védelmi réteget jelent, hogy egyetlen elromlott zár se nyisson ki minden ajtót.
A PHP Alapítvány a maga részéről az esetet arra használja, hogy határozott üzenetet küldjön. A nyelv világszerte kormányzati szolgáltatásokat, bankokat és online áruházakat működtet, a biztonsága mégis egy kis létszámú, alapítványi forrásokból fizetett fejlesztői és önkéntescsapaton nyugszik.
A szervezet szerint az eszközök ma már minden korábbinál gyorsabban találják meg a hibákat, ám annak eldöntése, miként lehet azokat úgy kijavítani, hogy közben ne törjön össze a web, tapasztalt mérnököket igényel.