OpenAI-ის თქმით, ChatGPT Sol-მა PHP-ის კრიტიკული ხარვეზები აღმოაჩინა

OpenAI-მ 21 ოქტომბერს გავრცელებულ პრესრელიზში განაცხადა, რომ კიბერუსაფრთხოების ინიციატივის, „Patch the Planet“-ის ფარგლებში მომუშავე მკვლევრებმა მისი ხელოვნური ინტელექტის მოდელით, GPT-5.6 Sol-ით, PHP-ში კრიტიკული უსაფრთხოების ხარვეზები აღმოაჩინეს. PHP ღია კოდის პროგრამირების ენაა, რომელზეც ინტერნეტის სავარაუდოდ 70% მუშაობს. აღმოჩენის შემდეგ კომპანიამ ორი თვის განმავლობაში ხარვეზების გამოსასწორებლად მკვლევრების, PHP-ის შემქმნელების, უსაფრთხოების სფეროს წარმომადგენლებისა და სახელმწიფო კიბერუსაფრთხოების სააგენტოების კოალიციის მუშაობა შეათანხმა. კომპანიის თქმით, ხანგრძლივი პროცესი ამოცანის სირთულემ განაპირობა, რადგან PHP-ის ძრავაში მნიშვნელოვანი ცვლილებების შეტანა გახდა საჭირო.

PHP Foundation-მა ხარვეზების გამოსასწორებლად გამოუშვა განახლებები: PHP 8.2.35, 8.3.36, 8.4.27 და 8.5.12. PHP 8.1-ისა და უფრო ძველი ვერსიებისთვის ოფიციალური შესწორებები არ გამოვა. განახლებული ვერსიების კოორდინირებული გამოშვება თავდაპირველად 22 ოქტომბერს იგეგმებოდა, თუმცა 20 ოქტომბერს ინფორმაციის ნაადრევად გამჟღავნების შემდეგ, რასაც საზოგადოების პროტესტი მოჰყვა, გამოშვება 21 ოქტომბერს გადმოიტანეს.

OpenAI-ის თქმით, PHP-ის გამოყენებით შექმნილ ყველა საიტს ახლა შეუძლია უსაფრთხოდ განაახლოს ვერსია. კომპანიამ ეს შემთხვევა, რომელსაც PHP-ის ფართო გავრცელების გათვალისწინებით 2026 წლის კიბერუსაფრთხოების ერთ-ერთ უდიდეს აღმოჩენად მიიჩნევს, თავდაცვისთვის საჭირო დროის ფანჯრის კონცეფციის პრაქტიკაში მოქმედების მაგალითად მოიყვანა. OpenAI-მ ეს კონცეფცია მას შემდეგ შემოიღო, რაც მისმა მოდელებმა Hugging Face გატეხეს. კონცეფცია გულისხმობს კრიტიკულ, მოკლე პერიოდს, როცა ორგანიზაციებს მოწინავე ხელოვნური ინტელექტის მოდელების გამოყენებით შეუძლიათ კიბერუსაფრთხოების დაცვაში არსებული სისუსტეების აღმოჩენა, გამოსწორება და გაძლიერება, სანამ ხელოვნურ ინტელექტზე დაფუძნებული თავდასხმის შესაძლებლობები მავნე აქტორებისთვის ფართოდ ხელმისაწვდომი გახდება.

„Patch the Planet“-ის პროგრამის ფარგლებში, კალიფში (Calif), კალიფორნიულ კიბერუსაფრთხოების კომპანიაში მომუშავე მკვლევრებმა, რომელიც პროგრამის დამფუძნებელი პარტნიორია, OpenAI-ის ხელსაწყოებით PHP-ის შემოწმება 2026 წლის 30 ივლისს დაიწყეს. ეს PHP Foundation-ის თხოვნით გააკეთეს. ფონდმა ძირითადი ხარვეზის შესახებ 2024 წლიდან იცოდა, თუმცა ვერ დაედგინა მისი გამოყენების მეთოდი ან გამოსწორების გზა. კალიფის მკვლევარმა რაიან ეიმ (Ryan A.) გამოსაყენებელი ხარვეზი პირველად 11 აგვისტოს აღმოაჩინა, იმავე დღეს კი ის OpenAI-ის მკვლევრებმაც იპოვეს. მოგვიანებით კიდევ ერთმა კიბერუსაფრთხოების კომპანიამ, Wiz-მა, დამოუკიდებლად აღმოაჩინა დამატებითი ხარვეზი.

CVE-2026-109618 და CVE-2026-109619 ნომრებით აღრიცხული ორი ხარვეზი PHP-ის მიერ კომპიუტერის მეხსიერების მართვასა და შეცდომებზე რეაგირებას უკავშირდება. პირველი მაშინ ჩნდება, როცა მოთხოვნის დამუშავებისას PHP-ს გამოყოფილი მეხსიერება ეწურება. ამის შედეგად შესაძლოა არასრული შიდა მონაცემები დარჩეს, რომლებიც ძრავამ მოგვიანებით შეცდომით ვარგისად მიიჩნიოს. მეორე ხარვეზი მსგავს პრობლემას უკავშირდება: კრიტიკული შეცდომის შემდეგ PHP მიუთითებს მეხსიერებაზე, რომელიც უკვე გათავისუფლებულია. შედეგად, მომდევნო მოთხოვნებმა შესაძლოა მასზე წვდომა მიიღოს ან მონაცემები დააზიანოს. გარკვეულ პირობებში თავდამსხმელებს ამ სისუსტეების დისტანციურად გამოყენება შეუძლიათ, ანგარიშში შესვლის მონაცემების გარეშეც. ამ გზით მათ შეუძლიათ დაზიანებულ სერვერებზე მავნე კოდის გაშვება და, შესაძლოა, საიტების კონტროლის ხელში ჩაგდება.