Η OpenAI λέει ότι το μοντέλο της βοήθησε να εντοπιστούν κρίσιμες ευπάθειες στην PHP

Η OpenAI ανακοίνωσε ότι το μοντέλο GPT-5.6 Sol βοήθησε στην ανίχνευση μιας από τις δύο κρίσιμες ευπάθειες της PHP, της γλώσσας προγραμματισμού που χρησιμοποιείται ευρέως για την ανάπτυξη ιστοσελίδων. Η εταιρεία παρουσίασε παράλληλα μια πρόταση για πέντε στάδια συντονισμένης διαχείρισης και αποκάλυψης ευπαθειών που θα εντοπίζονται με τη βοήθεια τεχνητής νοημοσύνης.

Οι δύο ευπάθειες, με κωδικούς CVE-2026-109618 και CVE-2026-109619, ονομάστηκαν συλλογικά PHP2Shell. Έχουν βαθμολογία σοβαρότητας 9,2 στα 10 και μπορούν να επιτρέψουν σε επιτιθέμενο να εκτελέσει κώδικα σε διακομιστή χωρίς να χρειάζεται να συνδεθεί με στοιχεία πρόσβασης.

Τι ανακοίνωσε η OpenAI

Σε ανάρτησή της, η OpenAI ανέφερε ότι η εταιρεία ασφάλειας Calif εντόπισε μία από τις ευπάθειες χρησιμοποιώντας το GPT-5.6 Sol στο πλαίσιο του προγράμματος Patch the Planet. Η Wiz, θυγατρική της Google, εντόπισε και ανέφερε ανεξάρτητα και τις δύο ευπάθειες.

Η OpenAI δήλωσε ότι τους τελευταίους δύο μήνες συντόνισε ομάδα από συντηρητές της PHP, ερευνητές ασφάλειας και εταιρείες κυβερνοασφάλειας, ώστε να προετοιμαστούν διορθώσεις και προστατευτικά μέτρα πριν από τη δημόσια αποκάλυψη.

Οι λεπτομέρειες διέρρευσαν νωρίτερα από το πρόγραμμα. Η PHP Foundation προχώρησε έτσι στην έκδοση των διορθώσεων μία ημέρα νωρίτερα από την αρχικά προγραμματισμένη ημερομηνία αποκάλυψης, στις 22 Οκτωβρίου.

Η καθυστέρηση στη διόρθωση

Το PHP Foundation παραδέχτηκε ότι ένα από τα ζητήματα είχε εντοπιστεί ήδη από το 2024, αλλά η διόρθωση καθυστέρησε επειδή η ομάδα ασφαλείας δεν μπορούσε να συμφωνήσει σε μια λύση. Κάθε πιθανή προσέγγιση είχε μειονεκτήματα, καθώς θα μπορούσε να διαταράξει τη συμβατότητα με παλαιότερες εκδόσεις, να δημιουργήσει κίνδυνο denial of service ή να απαιτήσει αλλαγές σε χιλιάδες extensions τρίτων. Το Foundation χαρακτήρισε την καθυστέρηση «δομική αποτυχία», συνδέοντάς την τόσο με τη διαδικασία λήψης αποφάσεων όσο και με τα περιορισμένα διαθέσιμα ανθρώπινα resources.

Ποιος κινδυνεύει

Η PHP χρησιμοποιείται σε μεγάλο μέρος του διαδικτύου για την εμφάνιση ιστοσελίδων, τη διαχείριση φορμών και την ανάκτηση δεδομένων. Η CISA σημείωσε ότι οι ευπάθειες αφορούν εγκαταστάσεις PHP που εξυπηρετούν αιτήματα web, ανεξάρτητα από το αν ο κώδικας μιας συγκεκριμένης ιστοσελίδας είναι ασφαλής.

Σε περίπτωση επιτυχούς εκμετάλλευσης, ένας επιτιθέμενος θα μπορούσε να εκτελέσει εντολές στον διακομιστή, να αποκτήσει πρόσβαση σε δεδομένα, να τροποποιήσει περιεχόμενο ή να πάρει τον έλεγχο της υποδομής. Η CISA ανέφερε ότι δεν είχε παρατηρήσει exploitation κατά τη στιγμή της έκδοσης της συμβουλής της, αλλά κάλεσε τους οργανισμούς να ενημερώσουν άμεσα τα συστήματά τους.

Οι χρήστες πρέπει να ενημερώσουν σε PHP 8.5.12, 8.4.27, 8.3.36 ή 8.2.35. Όσοι δεν μπορούν να κάνουν άμεσα ενημέρωση ή χρησιμοποιούν μη υποστηριζόμενες εκδόσεις, όπως την PHP 8.1, θα πρέπει να βγάλουν εκτός λειτουργίας τα σχετικά συστήματα μέχρι να εφαρμοστεί η διόρθωση.

Διεθνείς προειδοποιήσεις

Η CISA, το FBI και η NSA ζήτησαν από τους οργανισμούς να εφαρμόσουν άμεσα τις ενημερώσεις. Παρόμοιες συστάσεις εξέδωσαν αρχές από τη Σιγκαπούρη, το Ηνωμένο Βασίλειο, την Αυστραλία, τον Καναδά και την Ευρωπαϊκή Ένωση.

Η Amazon δήλωσε ότι το σύστημα MadPot εντόπισε προσπάθειες εκμετάλλευσης πριν από τη δημόσια αποκάλυψη, ενώ η Cloudflare ανακοίνωσε ότι πρόσθεσε προστασίες στο firewall της. Η Google ανέφερε ότι εργαλεία τεχνητής νοημοσύνης χρησιμοποιήθηκαν και από την Wiz για την έρευνα και την επαλήθευση των διορθώσεων.

Το νέο πλαίσιο της OpenAI

Η πρόταση της OpenAI προβλέπει πέντε στάδια. Αρχικά, η ευπάθεια πρέπει να επιβεβαιωθεί και να διορθωθεί στον πηγαίο κώδικα του λογισμικού. Στη συνέχεια, οι επηρεαζόμενοι οργανισμοί πρέπει να έχουν χρόνο προετοιμασίας, με τη συμμετοχή και κυβερνητικών φορέων όπου κρίνεται απαραίτητο.

Ακολουθεί η προετοιμασία ενημερώσεων για προϊόντα και υπηρεσίες που βασίζονται στο ευάλωτο λογισμικό. Στη συνέχεια δημοσιεύεται καθοδήγηση όταν κυκλοφορήσει η διόρθωση, ενώ οι συντηρητές του έργου αποφασίζουν ποιοι οργανισμοί θα λάβουν έγκαιρη ενημέρωση.

Η OpenAI ανακοίνωσε επίσης 1 δισεκατομμύριο δολάρια σε επιδοτούμενη πρόσβαση στο εργαλείο ασφάλειας Daybreak για οργανισμούς με περιορισμένους πόρους που προστατεύουν βασικές υπηρεσίες.

Η σημασία για τις επιχειρήσεις

Η υπόθεση δείχνει ότι τα μοντέλα τεχνητής νοημοσύνης μπορούν να χρησιμοποιηθούν τόσο για τον εντοπισμό σοβαρών ευπαθειών όσο και για την ταχύτερη προετοιμασία διορθώσεων. Για επιχειρήσεις και developers, το άμεσο εύρημα είναι πιο συγκεκριμένο: όσοι χρησιμοποιούν PHP πρέπει να ελέγξουν την έκδοση που τρέχουν και να εφαρμόσουν τις διαθέσιμες ενημερώσεις.

Πηγή – Startupper

ΔΙΑΦΗΜΙΣΗ

BUY & SELL IN CYPRUSwww.buyme.cy