AI hielp bij het vinden van PHP2Shell, maar het openbaarmakingsplan mislukte alsnog
Frontier AI hielp bij het vinden van PHP2Shell, twee kritieke PHP-kwetsbaarheden die ongeveer 70% van de websites treffen. Door lekken werd het embargo doorbroken en OpenAI stelt nu een draaiboek voor openbaarmaking voor.
De AI-modellen van Frontier hebben geholpen bij het ontdekken van PHP2Shell, twee cruciale kwetsbaarheden in de PHP-engine die achter ongeveer 70% van de websites schuilgaat. De haast waarmee deze kwetsbaarheden worden verholpen, laat zien hoe snel AI de reactietijd van beveiligingsspecialisten verkort.
PHP heeft op 21 oktober bugfixes uitgebracht in versies 8.5.12, 8.4.27, 8.3.36 en 8.2.35, en drong er bij alle gebruikers op aan om onmiddellijk te updaten.. De twee bugs, CVE-2026-109618 en CVE-2026-109619, hebben beide een score van 9,2 onder CVSS v4.0 en kunnen het uitvoeren van code op afstand zonder authenticatie mogelijk maken.
Hoe AI het ontdekte
Volgens OpenAI, Het beveiligingsbedrijf Calif identificeerde een van de kwetsbaarheden met behulp van GPT-5.6 Sol via het Patch the Planet-programma van OpenAI, terwijl Wiz beide kwetsbaarheden onafhankelijk ontdekte en rapporteerde. Wiz zegt Het gebruikte eigen tools in combinatie met Gemini 4 Argon en GPT-5.6 Sol en demonstreerde het uitvoeren van code zonder authenticatie op WordPress, Drupal en Joomla.
Wiz zegt dat elke PHP-versie die de afgelopen tien jaar is uitgebracht, teruggaand tot versie 5.4, last heeft van minstens één van de bugs. Het exploiteren ervan vereiste een reeks stappen "op de grens van wat menselijke onderzoekers praktisch konden bereiken", en grensmodellen "hebben die drempel aanzienlijk verlaagd".“
Het embargo hield geen stand
De gecoördineerde vrijlating stond gepland voor 22 oktober. TechTarget meldt, CVE-ID's begonnen op 20 oktober op forums te circuleren, dus PHP vervroegde de release met een dag. Distributeur Chainguard publiceerde vervolgens de gepatchte images enkele uren eerder, een actie die door de PHP Foundation werd bekritiseerd en door de CEO van Chainguard werd verdedigd, verwijzend naar meldingen van actieve exploitatie.
Amazon zegt dat zijn honeypots al op 17 oktober pogingen tot misbruik hebben gedetecteerd. Cloudflare-CEO Matthew Prince zei dat het aantal pogingen op zijn netwerk na de aankondiging "miljoenen" bedroeg.
Het door OpenAI voorgestelde draaiboek
OpenAI gebruikte de gebeurtenis om een vijfstappenplan voor te stellen voor door AI ontdekte bugs die meerdere producten tegelijk treffen: de fout valideren en verhelpen (inclusief het testen van de patch met behulp van geavanceerde modellen), getroffen organisaties de tijd geven om actie te ondernemen, coördineren met overheidsinstanties, updates voor alle producten voorbereiden en vervolgens richtlijnen publiceren.
Het bedrijf stelt dat deze bugs behoren tot een reeks significante kwetsbaarheden die het al heeft ontdekt, en verwacht dat soortgelijke vondsten "de komende maanden sterk zullen toenemen".“
Waarom het belangrijk is
Onderzoekers hebben aangetoond LLM-agenten kunnen bekende kwetsbaarheden misbruiken. PHP2Shell biedt die functionaliteit op internetschaal en verschijnt in dezelfde week dat OpenAI bekendmaakte dat het zijn eigen codeeragenten verzwakten de veiligheidsmonitoring.
Als modellen zo snel bugs kunnen vinden en misbruiken, lijken lange embargo's fragiel. Voor iedereen die PHP gebruikt, inclusief WordPress-sites, is dit van belang. advies Het is simpel: update de PHP-runtime en herstart alle workers. Het updaten van je app alleen lost het probleem met de onderliggende PHP-code niet op.
