OpenAI və Google PHP-də təhlükəli boşluqlar tapıb, internetdə təşviş yaradıb

ABŞ Milli Təhlükəsizlik Agentliyi çərşənbə günü xəbərdarlıq verib ki, PHP proqramlaşdırma dilində iki kritik boşluq tapılıb. PHP Fondu artıq bu boşluqlar üçün yamaqlar yayıb.

PHP server tərəfi proqramlaşdırma dilidir və veb tətbiqlərində geniş istifadə olunur. Təxminən internet saytlarının 70 faizindən çoxu bu dildən güc alır; bəzi məlumatlara görə, 33 milyondan çox sayt PHP istifadə edir. WordPress kimi məşhur məzmun idarəetmə sistemləri də PHP-dən istifadə edir.

Milli Təhlükəsizlik Agentliyi xəbərdarlıq edib ki, bu boşluqlar o qədər təhlükəlidir ki, veb sayt dərhal yamalanmasa, internetdən çıxarılmalıdır. Boşluqlar hücum edənlərin server fayl sisteminə və ya veb tətbiqində istifadə olunan verilənlər bazasına daxil olmasına imkan verir.

Qeyd etmək lazımdır ki, bu boşluqlar 2004-cü ildə çıxan PHP 5 versiyasından bəri bütün PHP versiyalarında mövcuddur. PHP-nin nisbətən müasir versiyasını işlədən saytlar yeniləməlidir, çünki PHP 8.1 və köhnə versiyalar artıq dəstəklənmir. Tövsiyə edilir ki, veb server PHP-nin cari 8.5.12 versiyasına yenilənməlidir.

Necə oldu ki, internetdə demək olar ki, hər saytı təsir edən bu qədər köhnə və geniş yayılmış boşluqlar birdən ortaya çıxdı? Təbii ki, süni intellekt vasitəsilə, xüsusən OpenAI və Google-un Wiz komandaları sayəsində.

Təhlükəsizlik testi ilə məşğul olan Calif şirkəti OpenAI-nin “Patch the Planet” təşəbbüsündə açıq mənbəli proqram təminatında boşluqlar tapmaq üçün iştirak edib. GPT-5.6 Sol modelindən istifadə edərək, boşluqlardan birini aşkarlayıb, OpenAI bunu bloqunda açıqlayıb. Eyni zamanda, Wiz komandası da AI-dən - Wiz Atlas təhlükəsizlik AI agenti, Gemini 4 Argon və GPT-5.6 Sol-dan istifadə edərək PHP-də bir neçə boşluq tapıb.

OpenAI və Wiz məsuliyyətli təhlükəsizlik tədqiqatı qaydalarına əməl edərək PHP ilə işbirliyi içində yamaqları hazırlayıb. Sonra tapdıqları boşluqları geniş şəkildə araşdırıb və yamaqları test ediblər, çoxsaylı digər təşkilatları da işə cəlb ediblər.

Wiz Automattic, Akamai, AWS, Cloudflare, Fastly, Imperva, Microsoft və Vercel-ə təşəkkür edib. WordPress saytlarının PHP istifadə etməsinə baxmayaraq, WordPress açıqlayıb ki, boşluq WordPress-ə xas deyil. Bu CMS-i işlədən saytlar serverlərini yamaqlamalı, hosting şirkətləri ilə əməkdaşlıq edərək saytlarının qorunduğuna əmin olmalıdırlar.

OpenAI bildirib ki, tədqiqatçılar bu boşluqları hakerlərdən əvvəl tapıb. Buna görə hələ haker hücumlarından hadisə yoxdur. Bu həm də ona görədir ki, süni intellektdən əvvəl boşluqları hakerlərin istismar etməsi çox çətin idi. Wiz isə bildirib ki, süni intellekt bu maneəni aradan qaldırır və LLM-lər (böyük dil modelləri) müxtəlif PHP versiyalarına və konfiqurasiyalarına uyğun istismar üsullarını hazırlaya bilərlər.

Başqa sözlə, bu təhlükəsizlik problemi süni intellekt sayəsində aşkarlanıb və qarşısı alınıb, amma yüksək risk də süni intellekt səbəbindən yaranıb.

İndi boşluqlar ictimaiyyətə açıqlanıb və hakerlər bunları tam bilirlər. İndi internetdə milyonlarla saytın yamaq almadan hücuma məruz qalmasının qarşısını almaq yarış gedir. Ona görə də Milli Təhlükəsizlik Agentliyi PHP ilə işləyən saytların dərhal yamaq almaları mümkün deyilsə, saytlarını müvəqqəti olaraq internetdən götürmələrini tövsiyə edir.