Två kritiska buggar i PHP, programmeringsspråket som driver uppskattningsvis 70 procent av alla webbplatser, satte igång en global lappningskapplöpning denna vecka efter att forskare visat att buggarna kunde ge angripare kontroll över servrar utan lösenord.
Buggarna hittades med hjälp av OpenAI-modeller, i samarbete med säkerhetsföretagen Wiz och Calif. Gruppen gav buggparet smeknamnet PHP2Shell. En av buggarna hade funnits i språket i 14 år.
Vad buggen möjliggör
Angripare kunde ta över drabbade webbservrar utan autentisering och läsa minne som kan innehålla lösenord och sessionsdata. Eftersom PHP ligger under WordPress, Drupal och en lång rad anpassade webbplatser når exponeringen sjukhus, detaljhandlare och statliga portaler, inte bara teknikföretag.
Wiz jämförde allvaret med Heartbleed, krypteringsbuggen från 2014 som blottade data över stora delar av webben. Forskarna sade att buggen är tillräckligt svår att den ligger vid gränsen för vad mänskliga analytiker kunde utnyttja, och enkel för en AI-agent som kan köra attacksteg på egen hand.
Vilka uppmanade organisationer att agera
USA:s nationella säkerhetsmyndighet NSA och EU:s cybersäkerhetsbyrå rådde till omedelbar lappning. Båda sade att system som inte snabbt kan uppdateras bör tas offline. Vissa europeiska regeringssajter gjorde precis det, och delar av deras offentliga tjänster låg nere i en dag.
Cloudflares teknikchef Dane Knecht sade att företaget såg tidiga attackförsök innan lappen blev offentlig. OpenAI släppte ett verktyg som administratörer kan köra för att kontrollera om en installation är exponerad.
Varför avslöjandet skyndades fram
Detaljer läckte ut online denna vecka, vilket tvingade PHPs underhållare att publicera rådgivningen och uppdateringen tidigare än planerat. Det kortade gapet mellan varning och utnyttjande, vilket är det gap som försvarare förlitar sig mest på.
Episoden skär åt båda håll. AI hittade en bugg som år av mänsklig granskning missat, och samma förmåga kan hjälpa angripare att skriva exploits snabbare. Säkerhetsteam står nu inför ett enkelt test: lappa eller koppla bort.