Badacze bezpieczeństwa odkryli poważne luki w PHP, języku skryptowym open source, na którym działa około 70% stron internetowych na świecie, z pomocą modelu OpenAI.

Te luki, zbiorczo nazwane PHP2Shell, zostały określone jako potencjalnie jedne z najpoważniejszych odkrytych w PHP od ponad dekady, a niektórzy eksperci porównali je do Heartbleed, notorycznej luki w OpenSSL ujawnionej w 2014 roku, która pozwalała atakującym odczytywać fragmenty pamięci serwera.

Co odkryli badacze

Luki wyszły na jaw podczas audytu przeprowadzonego w sierpniu 2026 roku przez badaczy z firmy bezpieczeństwa Calif. Zespół wykorzystał GPT-5.6 Sol, jeden z modeli OpenAI, do przeanalizowania kodu źródłowego PHP. Odkrycie luk przypisuje się Ryanowi Austinowi z Calif.

Błędy umożliwiają zdalne wykonanie kodu oraz kontrolę nad pamięcią serwera. Mówiąc praktycznie, atakujący znajdujący się w dowolnym miejscu internetu mógłby zmusić serwer do wykonania instrukcji, których nigdy nie miał wykonywać.

Częścią tego, co czyni to odkrycie istotnym, jest miejsce, w którym znajdują się luki: w samym PHP, a nie w pojedynczej aplikacji lub wtyczce zbudowanej na jego bazie.

Według wyników badań luki mogły ujić wrażliwe dane odwiedzających strony. Mogły też stanowić punkt zaczepienia dla dalszych cyberataków na inne systemy.

Jak przebiegało ujawnienie luki

CEO Califa, Thai Duong, powiadomił 11 sierpnia Volstera Duschа, pracującego nad PHP, co zapoczątkowało cichą, skoordynowaną próbę naprawienia problemu, zanim atakujący mogliby się o nim dowiedzieć. Takie podejście „najpierw prywatnie” to standardowa praktyka bezpieczeństwa znana jako skoordynowane ujawnianie luk, w ramach której luki są łatane w tle, zanim szczegóły staną się publiczne.

Działania reagowania zebrały razem opiekunów PHP, niezależnych badaczy, dostawców rozwiązań bezpieczeństwa oraz amerykańskie agencje, w tym CISA (Cybersecurity and Infrastructure Security Agency) i ONCD (Office of the National Cyber Director).

OpenAI ogłosiło swoją inicjatywę "Patch the Planet" 21 października 2026 roku. Program ma na celu zmobilizowanie obrońców wokół luk PHP2Shell oraz wsparcie skoordynowanych prac nad poprawkami. Częściowy wyciek informacji o lukach zmusił zespół do przyspieszenia wydania poprawki na 22 października.

W ramach inicjatywy OpenAI przekazuje miliard dolarów w postaci dotowanych dostępów do modeli. Celem jest oddanie narzędzi AI w ręce obrońców pierwszej linii pracujących nad lukami tego rodzaju.

Dlaczego wspomagane przez AI szukanie błędów zmienia sytuację

Eksperci cytowani w badaniu przeprowadzili oczywiste porównanie do Heartbleed. Podkreślali również, że wspomagane przez AI wykrywanie luk działa w obie strony: ta sama zdolność, która pomaga obrońcom wykrywać dziury, może pomóc atakującym je znajdować i wykorzystywać.

To napięcie leży w centrum zobowiązania OpenAI o wartości miliarda dolarów. Jeśli modele mogą szybciej ujawniać krytyczne luki, wyścig sprowadza się do tego, kto użyje ich pierwszy Dotowanie dostępu dla obrońców to próba przechylenia tego wyścigu na korzyść osób łatających luki.

Co to oznacza

Dla operatorów stron internetowych natychmiastowy priorytet jest prosty: aktualizacja. Poprawka istnieje, a częściowy wyciek oznacza, że zegar zaczął tykać wcześniej, niż ktokolwiek by tego chciał. Ponieważ PHP stanowi podstawę tak dużej części sieci, aktualizacja dotyczy znacznie więcej niż pojedynczej strony czy dostawcy hostingu.

Dla świata open source PHP2Shell to kolejne przypomnienie o problemie strukturalnym: krytyczna infrastruktura internetowa często opiera się na projektach utrzymywanych przez małe zespoły, a ta zależność staje się ryzykiem systemowym, gdy pojawiają się luki o takiej powadze. Silne zaangażowanie amerykańskich agencji w to ujawnienie pokazuje, jak poważnie rządy traktują obecnie tę zależność.

Na co zwracać uwagę dalej: jak szybko strony wdrożą poprawkę z 22 października, czy pojawią się zgłoszenia wykorzystania PHP2Shell w praktyce oraz jak OpenAI rozdystrybuuje miliard dolarów w dotowanych dostępach.