AI-potpomognuto otkrivanje PHP2Shell ranjivosti menja bezbednosnu računicu
Dve kritične PHP ranjivosti pokazuju da AI više ne ubrzava samo pisanje koda. On menja cenu pronalaženja i pretvaranja dubokih softverskih grešaka u praktične napade.
Šta se promenilo
PHP je 21. oktobra objavio verzije 8.5.12, 8.4.27, 8.3.36 i 8.2.35 zbog ranjivosti CVE-2026-109618 i CVE-2026-109619. Projekat navodi da one mogu omogućiti izvršavanje koda bez autentifikacije i da je ažuriranje jedino potpuno rešenje. Calif je koristio GPT-5.6 Sol u okviru OpenAI programa, dok je Wiz nezavisno prijavio obe ranjivosti i naveo da je Gemini 4 Argon značajno doprineo pronalaženju, razvoju napada, detekciji i proveri zakrpe.
Zašto je važno
PHP Foundation navodi da su prvi tragovi osnovnog problema bili poznati još 2024, ali bez jasnog puta do izvršavanja koda. AI-potpomognuti izveštaji su pokazali puni domet problema i pomogli proveru zakrpa. Ovo je važnije od još jednog benchmark rezultata: modeli su smanjili cenu i količinu ekspertskog rada potrebnog da se složena greška pretvori u praktičan napad.
Operativni odgovor
Mi bismo odmah popisali sva PHP okruženja dostupna sa interneta, ažurirali podržane grane i proverili verziju koja zaista radi u produkciji. Dugoročno bismo dodali izolovano AI testiranje bezbednosti, proveru nalaza drugim modelom, ljudsko odobrenje i revizijski trag. Agenti treba da ubrzaju otkrivanje, a ne da samostalno menjaju produkciju.
Objava o PHP2Shell ranjivostima je prvi rezultat u ovom talasu koji bi trebalo da promeni budžet i proces inženjerskog tima, a ne samo listu poželjnih modela. Suština nije u tome da je AI napisao domišljat exploit, već da su istraživači uz pomoć modela pretvorili teško razumljivu, dugotrajnu klasu grešaka u upravljanju memorijom u potvrđene putanje za izvršavanje koda bez autentifikacije, dok su nezavisni timovi koristili različite napredne modele za pronalaženje, razvoj, detekciju i proveru ispravki. Time se smanjuje količina retke ekspertske veštine potrebne i napadačima i braniocima. Mi bismo prvo ažurirali svako javno dostupno PHP okruženje, proverili stvarno pokrenutu verziju umesto one navedene u konfiguraciji i zastarele grane tretirali kao migracioni incident. Zatim bismo uveli kontinuiranu AI-potpomognutu bezbednosnu proveru u izolovanom okruženju, testiranje iz napadačke perspektive kroz više dobavljača i obavezno ljudsko odobrenje za svaku izmenu i produkcionu akciju. Agentu ne bismo dali samostalan upis u produkciju: vrednost je u bržem pronalaženju i ponavljanju problema, ne u autonomnom popravljanju. Timovi koji bezbednost i dalje svode na godišnji audit sada reaguju presporo; potreban je ponovljiv tok za inventar, dokaze, testiranje zakrpa, dozvole i revizijski trag.
Pretvorite uvid u sistem koji radi.
Gradimo bezbednosni tok uz podršku modela koji pregleda kritičan kod, ponavlja nalaze u izolaciji i svaku predloženu izmenu šalje na ljudsko odobrenje. Virtual Arc može da doda proveru kroz više modela, dozvole i revizijski trag. Vredi da razgovaramo ako Vaš tim održava javno dostupan ili poslovno kritičan softver.
- Patch the Planet: global response coordination as agents uncover critical vulnerabilities
- PHP2Shell: AI uncovers critical RCE vulnerabilities affecting 70% of the Internet
- PHP Security Advisory: Critical remote code execution vulnerabilities, update now
- Today's PHP Security Release, and How We're Strengthening PHP Security
- PHP web runtimes: CVE-2026-109618 and CVE-2026-109619