Przez kilka dni września i października 2026 roku administratorzy serwerów na całym świecie żyli w trybie alarmowym. Po publikacji poprawek na dwie poważne luki w PHP, języku napędzającym znaczną część internetu, Cloudflare odnotował miliony prób wykorzystania błędów w ciągu zaledwie kilku godzin. To scenariusz, który znamy z wielu wcześniejszych kryzysów bezpieczeństwa, z jednym istotnym wyjątkiem: tym razem to nie tylko tempo łatania zaskoczyło ekspertów, lecz także to, kto (a raczej co) pomogło w odkryciu samych podatności.

Zbiorczo nazwane PHP2Shell błędy po raz pierwszy zidentyfikowali i wykorzystali badacze z firmy Calif na początku sierpnia, częściowo w ramach programu OpenAI „Patch the Planet”, a częściowo dzięki własnej, głębokiej znajomości PHP i jego słabości. Część problemów znana była zespołowi PHP już w 2024 roku, ale uznano je wtedy za zbyt złożone, by mogły stać się realnym zagrożeniem w rękach atakującego. Po odkryciu Calif niezależnie dotarli do tych samych luk badacze OpenAI oraz należącej do Google firmy Wiz, również z pomocą narzędzi AI.

- Podatność była znana zespołowi PHP od lat, ale ponieważ nie dało się jej wykorzystać, przynajmniej nie przez człowieka, nie została naprawiona, mówi Sagi Tzadik z Wiz. To zdanie streszcza istotę nowego problemu. Luki, które przez lata spokojnie drzemały w kodzie, przestały być teoretyczne, gdy modele językowe zaczęły analizować kod szybciej i skuteczniej niż ludzkie zespoły.

Skala konsekwencji nie ogranicza się do samego PHP. Microsoft w październikowych aktualizacjach załatał rekordowe 1453 podatności w ciągu jednego miesiąca, a Bank of America zatrudnił tysiąc konsultantów do naprawy błędów wskazanych przez model Mythos firmy Anthropic. Presja na niedofinansowane zespoły IT, deweloperów i administratorów rośnie, bo tempo odkrywania słabości przewyższa tempo ich usuwania.

Eksperci studzą jednak nastroje. Jake Williams z Hunter Strategy, były haker NSA, zauważa, że choć takich „długowiecznych” błędów będzie więcej, to niewiele systemów ma zasięg porównywalny z PHP, większość narzędzi nie jest domyślnie wystawiona na publiczny internet. Ryan Austin z Calif podkreśla z kolei, że żaden model nie potrafi „odkryć wszystkich błędów” prostym promptem. Nawet najbardziej zaawansowane przykłady hakerskich ataków z użyciem AI wciąż opierają się na ludzkiej wiedzy i intuicji.

Niels Provos, inżynier i badacz bezpieczeństwa, deklaruje spokój:, Ludzie szukają z pomocą AI już ponad rok, a do znalezienia tej luki potrzebny był wysoko wykwalifikowany zespół. Być może się mylę, ale w to wątpię. Jego sceptycyzm jest jednak tylko jedną stroną medalu, PHP2Shell pokazuje, że granica między „niemożliwym do wykorzystania” a „krytycznym” przesuwa się wraz z możliwościami modeli.

Podsumowanie: Historia PHP2Shell nie jest opowieścią o tym, że AI wymyśliło nowy rodzaj ataku. To raczej przypomnienie, że sztuczna inteligencja zmienia ekonomię bezpieczeństwa: skraca czas od odkrycia do eksploatacji i wystawia na próbę infrastrukturę, którą od lat uznawano za wystarczająco bezpieczną, bo nikt nie miał dość cierpliwości, by ją złamać. Dla administratorów oznacza to jedno, łatania nie da się już odkładać „na później”.