Americká Národná bezpečnostná agentúra (NSA) v stredu 21. októbra 2026 varovala pred dvoma kritickými chybami v programovacom jazyku PHP. Na odhalenie zraniteľnosti PHP pritom nepoužili ľudskí bezpečnostní experti klasický postup, ale jazykové modely GPT-5.6 Sol od OpenAI a Gemini 4 Argon od Googlu. Chyby sa skrývali vo všetkých verziách PHP od roku 2004 a podľa odhadov ohrozujú viac ako 33 miliónov webových stránok.
V skratke
- NSA 21. októbra 2026 varovala pred dvoma kritickými chybami v PHP, jazyku, na ktorom beží približne 70 % webových stránok, podľa niektorých odhadov vyše 33 miliónov serverov.
- Chyby existujú vo všetkých verziách PHP od čísla 5 z roku 2004, PHP Foundation už vydala opravu a odporúča prejsť na verziu 8.5.12.
- Zraniteľnosť objavili modely GPT-5.6 Sol (OpenAI) a Gemini 4 Argon (Google) v rámci iniciatívy OpenAI „Patch the Planet“ a nezávisle aj bezpečnostná firma Wiz cez svoju platformu Wiz Atlas.
- Oprava sa pripravovala dva mesiace v piatich fázach spolu s vývojármi PHP, firmou Cloudflare, americkou agentúrou CISA a Bielym domom.
Čo presne sa v PHP našlo
Podľa agentúry NSA ide o chyby, ktoré útočníkovi umožňujú preniknúť do súborového systému servera alebo do databázy, ktorú webová aplikácia využíva. PHP je serverový jazyk, na ktorom je postavená väčšina internetu, vrátane redakčného systému WordPress, na ktorom beží aj tento web. Spoločnosť WordPress k tomu vydala vyhlásenie, že chyba sa netýka priamo jej systému, ale servera, na ktorom WordPress beží, takže opravu musia zabezpečiť majitelia hostingu. Agentúra NSA odporučila, že ak server nejde okamžite aktualizovať, je bezpečnejšie stránku dočasne odstaviť z internetu, než riskovať zneužitie. PHP vo verzii 8.1 a staršej už navyše nemá podporu, takže mnohé staršie servery si vyžiadajú väčší zásah.
Ako AI chybu vôbec našla
Bezpečnostná testovacia firma Calif pracovala na projekte OpenAI s názvom „Patch the Planet“, ktorého cieľom je hľadať chyby v bežne používanom open source softvéri. Pri tejto práci model GPT-5.6 Sol odhalil jednu zo zraniteľností skôr, než ju stihli nájsť útočníci. Nezávisle od toho rovnaké a ďalšie chyby v PHP našiel tím bezpečnostnej firmy Wiz, ktorá patrí do portfólia Googlu. Použila vlastného bezpečnostného agenta Wiz Atlas v kombinácii s modelmi Gemini 4 Argon a GPT-5.6 Sol. Podľa Wiz bol model Gemini 4 Argon mimoriadne užitočný nielen pri hľadaní samotnej diery, ale aj pri vývoji testovacieho exploitu, stavbe nástrojov na detekciu útoku a pri overovaní, či oprava skutočne funguje.
Ako to funguje: prečo je to zároveň riziko
Pre bežného čitateľa je dôležité pochopiť jednu vec: jazykové modely vedia veľmi rýchlo čítať a porovnávať kód, a tak si všimnú nezrovnalosti, ktoré by človeku zabrali týždne manuálnej práce. Presne to isté však platí aj naopak. Firma Wiz vo svojom vyjadrení upozornila, že kým doteraz bolo prispôsobenie jedného konkrétneho útoku na iné verzie a nastavenia PHP pre útočníkov náročné, veľké jazykové modely vedia takýto exploit automaticky upraviť pre rôzne verzie, konfigurácie a usporiadanie pamäte. Tým sa znižuje bariéra na zneužitie zraniteľností, ktoré by sa inak zdali prakticky nevyužiteľné. Keďže chyba je teraz verejne zdokumentovaná, začína sa preteky s časom medzi správcami webov, ktorí musia stihnúť aktualizovať servery, a útočníkmi, ktorí už o diere vedia. Podobný vzorec, keď útočníci siahli po AI nástrojoch na prekonanie zabezpečenia, opísal aj prípad, keď AI nástroje hackerov napadli banky v Kórei.
Podobne ako pri prípade, keď OpenAI odhalila, že jej AI agenti vypli vlastné monitorovanie, aj tu platí, že schopnosti modelov rastú rýchlejšie než schopnosť firiem a úradov na ne reagovať. Zraniteľnosť PHP tak nie je len technickým detailom, ale ukážkou, že rovnaký nástroj môže slúžiť na obranu aj na útok.
Čo to znamená pre firmy
Pre firmy, ktoré majú webovú stránku alebo e-shop na WordPresse či inom systéme postavenom na PHP, je praktický záver jednoduchý: treba overiť u svojho hostingu alebo správcu servera, či je PHP aktualizované na verziu 8.5.12 alebo novšiu. Firmy s vlastným IT oddelením by si mali preveriť aj staršie interné aplikácie, ktoré bežia na zastaraných verziách PHP 8.1 a nižších, pretože tie už nemajú ani bežnú podporu výrobcu. Pre majiteľov menších firiem, ktorí si tieto technické detaily riešiť sami nevedia, je to zároveň pripomienka, že nasadenie AI nástrojov vo firme by mala sprevádzať aj základná bezpečnostná hygiena, nie len honba za novými funkciami.
Koordinovaná oprava trvala dva mesiace
Namiesto okamžitého zverejnenia chyby zvolili OpenAI aj Wiz postup zodpovedného odhalenia. Opravu pripravovali takmer dva mesiace v piatich fázach, do ktorých sa postupne zapájali vývojári PHP Foundation, tím Cloudflare, ktorý pomáhal nasadiť ochranu na strane siete, a americké agentúry vrátane CISA a Bieleho domu. Na pomoci sa podieľali aj spoločnosti Automattic, Akamai, AWS, Fastly, Imperva, Microsoft a Vercel. OpenAI tento postup navrhuje ako opakovateľný model pre budúce prípady, keď AI nástroje odhalia podobne závažné chyby, a očakáva, že počet takýchto objavov sa v najbližších mesiacoch výrazne zvýši.
Čo sledovať ďalej
V najbližších dňoch bude kľúčové, ako rýchlo si prevádzkovatelia webov aktualizujú servery, pretože chyba je už verejne známa a NSA počíta s pokusmi o jej zneužitie. Sledovať treba aj to, či sa objavia prvé potvrdené útoky na nezaktualizované servery, a či OpenAI skutočne zverejní ďalšie podobné nálezy z programu Patch the Planet, ktoré by mohli odhaliť ďalšie staré a dosiaľ neznáme diery v bežne používanom softvéri.
