Rządy i organizacje na całym świecie przystąpiły 21 października 2026 roku do pilnych działań naprawczych po ujawnieniu luki w PHP, języku programowania, na którym opiera się znaczna część współczesnego internetu. Błąd mógł dać hakerom dostęp do danych i kontrolę nad stronami internetowymi, co skłoniło amerykańską Narodową Agencję Bezpieczeństwa, agencje cyberbezpieczeństwa oraz dostawców oprogramowania do wydania pilnych ostrzeżeń.

Badacz z firmy zajmującej się badaniami bezpieczeństwa Calif odkrył lukę w sierpniu 2026 roku, korzystając z zaawansowanego modelu sztucznej inteligencji od OpenAI. Firma powiadomiła organizację non-profit zarządzającą PHP. Jednak informacja o luce wyciekła, zanim organizacja PHP opublikowała poprawki do swojego oprogramowania, a według przedstawicieli Amazon Web Services hakerzy zaczęli „na szeroką skalę” próbować ją wykorzystywać.

Ta luka w zabezpieczeniach ma znaczenie wykraczające daleko poza jedną firmę czy platformę, ponieważ PHP jest kluczowym oprogramowaniem, które obsługuje miliony stron internetowych. Czym więc jest PHP, jaką rolę odegrała AI w wykryciu luki i czy przeciętny użytkownik powinien się martwić?

PHP: fundament internetu

PHP to język programowania, na którym działa większość stron internetowych. Aby nowoczesna strona mogła dostarczać dynamiczne treści, elementy wizualne i funkcje wyszukiwania, program musi działać na serwerze WWW i przyjmować dane od użytkownika — niezależnie od tego, czy chodzi o wpisanie adresu strony, czy kliknięcie linku lub przycisku. Szacunki wskazują, że około 70% stron działa na PHP. Słabość w PHP nie jest więc błędem jednej aplikacji, lecz warstwy współdzielonej przez miliony stron jednocześnie.

PHP działa na serwerze WWW w dwóch głównych częściach: w systemie rdzenia PHP — silniku i bibliotekach wykonawczych — oraz w pojedynczych skryptach PHP, czyli niestandardowych programach, które faktycznie realizują stronę. Gdy odwiedzający wchodzi interakcję ze stroną, skrypty PHP są uruchamiane, przyjmują dane od użytkownika i generują wynik wyświetlany przez przeglądarkę.

Luka w zabezpieczeniach

Problem bezpieczeństwa znajduje się bezpośrednio w systemie rdzenia PHP i używanych przez niego bibliotekach. Gdy luka istnieje na tak głębokim poziomie, może pozwolić przeciwnikowi na wykorzystanie systemu. W tym przypadku atakujący mogą uruchamiać nieautoryzowane polecenia na komputerze hostingującym stronę, co daje im dostęp do danych i pełną kontrolę nad witryną.

Co istotne, nie jest to błąd w kodzie pojedynczej strony. Ponieważ problem leży w rdzeniu systemu PHP, każdy niezałatany serwer z PHP jest podatny na atak. A ponieważ strony internetowe są dostępne dla każdego w internecie, przeciwnicy mogą z łatwością znajdować cele oparte na PHP za pomocą zautomatyzowanych narzędzi, a następnie uruchamiać program exploitujący lukę. Efektem jest wyścig między administratorami instalującymi poprawki a atakującymi skanującymi serwery, które jeszcze się ich nie doczekały — dynamika już widoczna w szeroko zakrojonych próbach wykorzystania, które opisali przedstawiciele Amazon Web Services.

Kod exploitu nosi nazwę PHP2Shell, pochodzącą od przyznawanego dostępu do „shella” — terminu z zakresu cyberbezpieczeństwa oznaczającego bezpośrednią kontrolę wiersza poleceń nad komputerem obsługującym stronę. Dostęp do shella omija interfejs strony, dając przeciwnikom możliwość wpisywania poleceń i dostępu do wszystkich danych witryny.

AI: miecz obosieczny

To, co czyni tę lukę szczególnie godną uwagi, to sposób jej odkrycia. Luka wyszła na jaw dzięki skoordynowanemu ujawnianiu — procesowi, w którym badacze cyberbezpieczeństwa zgłaszają błędy twórcom PHP przed ich opublikowaniem. W tym przypadku między prywatnym zgłoszeniem w sierpniu a publicznym ujawnieniem w październiku minęło około dwóch miesięcy.

To wydarzenie pokazuje potęgę AI w cyberbezpieczeństwie. Przez dekady odkrywanie subtelnych błędów oprogramowania wymagało dużych zespołów specjalistów ręcznie przeglądających kod. Współczesne systemy AI mogą badać rozległe bazy kodu i identyfikować nietypowe wzorce w ciągu godzin lub dni, analizując miliony linii kodu i wykrywając subtelne błędy zarządzania pamięcią, które ludzcy audytorzy mogliby przeoczyć przez dziesięciolecia tworzenia oprogramowania. Luka w PHP istniała w rdzeniu kodu od ponad dekady, a AI pomogło badaczom ją znaleźć. Przypadek ten ilustruje, jak zmienia się skala odkrywania luk: pojedynczy badacz pracujący z AI może znaleźć błędy, które kiedyś wymagały dużych zespołów.

Te same narzędzia mogą jednak służyć atakującym. Zdolności rozumowania, które pomagają badaczom bezpieczeństwarywać luki jako pierwsi, mogą również pozwolić przeciwnikom na szybkie skanowanie internetu w poszukiwaniu podatnych celów i automatyzację tworzenia narzędzi exploitujących. To pokazuje, dlaczego tak ważne jest, aby zespoły bezpieczeństwa wykorzystywały AI do znajdowania luk i bezpiecznie oraz proaktywnie je zgłaszały — i dlaczego AI może też pomagać w publikowaniu poprawek je łagodzących.

Czy powinno się to martwić?

Wiele agencji rządowych, uniwersytetów, szpitali i firm polega na systemach opartych na PHP. Choć pojedynczy użytkownicy internetu raczej nie zostaną bezpośrednio dotknięci, organizacje zwlekające z instalacją poprawek mogą narazić wrażliwe dane, ryzykować zakłócenia działalności lub dać atakującym przyczółek do większych sieci.

PHP działa w całości na zdalnych serwerach WWW. Jeśli jesteś zwykłym użytkownikiem internetu odwiedzającym strony, nie musisz pobierać poprawki ani naprawiać swojego komputera.

Jeśli jednak zarządzasz stroną, blogiem lub serwerem — nawet małą witryną opartą na popularnych systemach zarządzania treścią, takich jak WordPress, który sam działa na PHP — powinieneś natychmiast sprawdzić panel administracyjny serwera lub dostawcę hostingu, aby upewnić się, że oprogramowanie PHP zostało zaktualizowane do najnowszej załatanej wersji. Jeśli twoją stroną hostuje strona trzecia, skontaktuj się z nią, aby potwierdzić, że zastosowała poprawki dla tych luk.

Odkrycie PHP2Shell ilustruje nową rzeczywistość cyberbezpieczeństwa. W połączonym świecie utrzymanie bezpieczeństwa infrastruktury internetowej to ciągły wyścig. Ponieważ narzędzia AI stają się standardem zarówno dla obrońców, jak i przeciwników w sieci, utrzymywanie nawyku szybkiego instalowania poprawek pozostaje naszą najważniejszą obroną.

Ten artykuł napisał Doug Jacobson, profesor uniwersytecki inżynierii elektrycznej i komputerowej na Iowa State University. Artykuł został przedrukowany z The Conversation na licencji Creative Commons; przeczytaj oryginalny artykuł. Historia została pierwotnie opublikowana na Fortune.com.