Umjetna inteligencija pomogla je otkriti ozbiljne sigurnosne propuste u programskom jeziku PHP, koji se koristi na velikom dijelu interneta. Ranjivosti bi napadačima mogle omogućiti izvršavanje zlonamjernog koda na udaljenim poslužiteljima, čak i bez prijave u sustav, zbog čega su stručnjaci pozvali administratore da hitno ažuriraju svoje sustave.

Dvije kritične ranjivosti, objedinjene pod nazivom PHP2Shell, evidentirane su pod oznakama CVE-2026-109618 i CVE-2026-109619. Obje su dobile ocjenu ozbiljnosti 9,2 od mogućih 10 prema ljestvici CVSS v4.0. Sigurnosne zakrpe objavljene su 21. listopada.

Posebnost ovog slučaja nije samo ozbiljnost propusta nego i način na koji su istraživači došli do otkrića. Napredni AI modeli pomogli su im analizirati složene nedostatke u kodu, razviti metode njihova iskorištavanja i potvrditi da je moguće izvesti napad na stvarnim sustavima.

AI pomogao pronaći ranjivosti

U otkrivanju propusta sudjelovali su istraživači sigurnosnih tvrtki Calif i Wiz te stručnjaci OpenAI-ja. Prema objavljenim izvješćima, Calif je jednu ranjivost otkrio uz pomoć modela GPT-5.6 Sol, dok je Wiz proveo neovisno istraživanje koristeći više naprednih AI alata.

Posebno važnu ulogu u Wizeovu istraživanju imao je Googleov model Gemini 4 Argon.

Stručnjaci su uspjeli povezati više programskih nedostataka u složen napad kojim je moguće zaobići uobičajene sigurnosne prepreke. AI im je pomogao ubrzati analizu, testiranje i prilagodbu postupka različitim verzijama i konfiguracijama sustava.

Prema Wizu, temeljni nedostaci postojali su više od desetljeća, ali je za dokazivanje da se mogu iskoristiti u stvarnom napadu bio potreban niz složenih tehničkih koraka. Umjetna inteligencija znatno je smanjila prepreke za takvu analizu.

Propust bi mogao ugroziti milijune web-stranica

PHP je programski jezik koji se izvršava na web-poslužiteljima i omogućuje funkcioniranje dinamičkih internetskih stranica i aplikacija. Koriste ga WordPress, Drupal, Joomla i MediaWiki, sustav na kojem se temelji Wikipedia, kao i brojne internetske trgovine i druge platforme.

Prema procjeni tvrtke Wiz, PHP pokreće oko 70 posto svjetskih web-stranica. To ne znači da su sve te stranice ranjive ili kompromitirane, ali pokazuje koliko bi potencijalni doseg problema mogao biti velik.

Ranjivosti se nalaze u samom PHP-u, a ne nužno u pojedinoj web-stranici ili njezinim dodacima. Napadač bi pod određenim uvjetima mogao izvršavati zlonamjerni kod na ranjivom poslužitelju ili doći do osjetljivih podataka iz memorije procesa, uključujući lozinke, pristupne tokene i API ključeve.

Zbog toga nije dovoljno ažurirati samo WordPress ili njegove dodatke. Potrebno je provjeriti verziju PHP-a na poslužitelju i instalirati odgovarajuće sigurnosne zakrpe.

Vlasnici stranica koje se nalaze na vanjskom hostingu trebali bi provjeriti je li njihov pružatelj usluge poduzeo potrebne mjere.

Zabilježeni milijuni pokušaja iskorištavanja

Matthew Prince, čelnik internetske infrastrukturne tvrtke Cloudflare, objavio je da je njihova mreža u deset sati prije javne objave ranjivosti zabilježila tisuće pokušaja njihova iskorištavanja. Nakon objave broj je porastao na desetke tisuća u 45 minuta, stotine tisuća unutar dva sata, a potom i na milijune, naveo je Prince.

Amazon je također izvijestio o pokušajima iskorištavanja propusta. Prema izvješću Amazon Threat Intelligencea koje prenosi The Verge, jedan je pokušaj zabilježen 17. listopada, prije službene objave sigurnosnih zakrpa.

To pokazuje da su se ranjivosti pokušavale iskoristiti i prije nego što su javno objavljene. Ipak, takvi podaci sami po sebi ne potvrđuju da je napad bio uspješan.

Sigurnosne zakrpe objavljene su 21. listopada, a stručnjaci upozoravaju da će njihova brza primjena biti ključna za smanjenje rizika. Sustavi koji ostanu nezaštićeni mogli bi postati mete napada i nakon što su tehnički detalji ranjivosti već poznati javnosti.