AI pomogao da se otkriju kritični propusti u PHP-u

AI je pomogao istraživačima da otkriju kritične bezbjednosne propuste u PHP-u, programskom jeziku koji pokreće brojne sajtove i poslovne aplikacije. PHP tim je 21. oktobra objavio ispravke za dvije ranjivosti koje mogu omogućiti napadaču da izvršava komande na pogođenom serveru bez prethodne prijave. Za vlasnike internet prodavnica i poslovnih portala ovo je razlog da odmah provjere stanje kod svog hostinga.

Šta je AI pronašao, a šta su uradili ljudi

OpenAI navodi da je bezbjednosna firma Calif koristila GPT-5.6 Sol u okviru programa Patch the Planet, dok je Wiz nezavisno otkrio i prijavio obje ranjivosti. PHP održavaoci vodili su izradu i objavljivanje ispravki. To nije priča o modelu koji je samostalno popravio internet, već o istraživanju uz AI podršku i koordinaciji više stručnih timova.

Važan je i kontekst. PHP Foundation navodi da su prvi znaci problema sa upravljanjem memorijom uočeni još 2024, ali tada nije postojao potvrđen put za udaljeno izvršavanje koda. Kasniji nalazi pokazali su puni rizik. Fondacija naglašava da AI pomaže u provjeri prijava, ali da ljudi donose odluke i rade na svakoj ispravci.

Ispravka postoji, primjena se mora provjeriti

Ranjivosti nose oznake CVE-2026-109618 i CVE-2026-109619. Zvanično upozorenje obuhvata PHP instalacije koje obrađuju veb zahtjeve, uključujući različite načine pokretanja na serverima. PHP tim posebno ističe rizik kod Apache servera sa modulom mod_php.

Ispravke su objavljene u verzijama PHP 8.5.12, 8.4.27, 8.3.36 i 8.2.35. Dobavljači mogu ponuditi i sopstvene pakete sa prenesenom ispravkom za stariju verziju. Zato provjera ne treba da se završi samo čitanjem broja verzije, već potvrdom dobavljača da su oba propusta otklonjena. PHP tim upozorava da privremene mjere nisu potpuna zamjena za ažuriranje.

Šta da pita vlasnik firme i naše preporuke

Ako imate internet prodavnicu ili portal, pošaljite administratoru ili hosting kompaniji konkretan zahtjev da potvrde da li koristite pogođeni PHP, da li su primijenjene ispravke za oba navedena propusta i da li ažurirana verzija zaista radi. Ažuriranje samog sistema za upravljanje sadržajem nije automatski i ažuriranje PHP-a na serveru.

Američka NSA preporučuje popis servisa koji zavise od PHP-a i hitnu primjenu ispravki. Ako trenutno ažuriranje nije moguće, preporučuje privremeno isključivanje pogođenog sistema dok se rizik ne otkloni. Takvu operativnu odluku usaglasite sa odgovornim administratorom, uz procjenu posljedica po poslovanje.

Rasprostranjenost PHP-a nije dokaz da je svaki sajt koji ga koristi napadnut. Ni iz ovog upozorenja ne možemo zaključiti da je određena firma u regionu kompromitovana. Praktična pouka je da AI ubrzava otkrivanje propusta, ali zaštita zavisi od provjerenih ispravki i njihove stvarne primjene.

Za odvojeni primjer rizika pri povezivanju AI servisa, pročitajte naš izvještaj o incidentu u OpenCodeu.

OpenCode prijavio incident: provjerite ključeve za AI servise

OpenCode kaže da je incident pogodio 1,4 odsto korisnika servisa Console. Upozorenje se odnosi na dio naloga sa povezanim spoljnim AI servisima, ne automatski na svakoga ko koristi lokalnu aplikaciju.

AI BalkanAI Balkan

Izvori

OpenAI: koordinisani odgovor na kritične ranjivosti, 21. oktobar 2026.

PHP: zvanično bezbjednosno upozorenje i ispravljene verzije, 21. oktobar 2026.

PHP Foundation: otkrivanje, ispravke i organizacija bezbjednosnog rada, 21. oktobar 2026.

NSA: preporuke za primjenu PHP ispravki, 21. oktobar 2026.

Za provjerene AI vijesti i praktična objašnjenja, pridružite se AI Balkanu besplatno.