Rządy w Europie odcinają strony od sieci. AI znalazła lukę, ale przestępcy dotarli do niej 6 godzin wcześniej

Luka pozwala włamywaczowi przejąć stronę internetową bez loginu i hasła. Zwykli internauci nie muszą niczego instalować. Właściciele firmowych stron powinni jednak jak najszybciej sprawdzić, czy ich serwis jest bezpieczny.

Silnik, którego nie widać

PHP to język programowania, który pracuje w tle. To dzięki niemu strona sklepu, bloga czy urzędu wyświetla treści, przyjmuje zamówienia i loguje użytkowników. Firma Wiz szacuje, że PHP napędza około 70 proc. wszystkich stron internetowych. Działają na nim popularne systemy do budowy stron, takie jak WordPress, Drupal, Joomla i Magento, a także wiele programów, które w ogóle nie informują, że korzystają z PHP.

Eksperci ocenili wagę zagrożenia na 9,2 w 10-punktowej skali. Volker Dusch z organizacji PHP Foundation powiedział dziennikowi „Wall Street Journal”, że to najpoważniejszy problem PHP od ponad dekady. Wiz porównuje lukę do dwóch najgłośniejszych błędów bezpieczeństwa ostatnich lat.

W uproszczeniu atak wygląda tak: gdy serwer, czyli komputer, na którym działa strona, dostaje za dużo danych naraz, PHP przerywa pracę w pół kroku i nie domyka drzwi. Napastnik wykorzystuje ten moment i przemyca do środka własne polecenia. Według firmy Sansec błędny fragment kodu pochodzi z wersji PHP z 2012 r.

Sztuczna inteligencja szybsza od ludzi

Pierwszy trop znalazła amerykańska firma Calif, która korzystała z modelu AI od OpenAI. Jej badacze sprawdzali kod PHP w ramach programu Patch the Planet, który finansuje OpenAI. Calif zgłosił lukę twórcom PHP 11 sierpnia 2026 r. Tego samego dnia ten sam błąd niezależnie zgłosiło OpenAI.

Kilka dni później na tę samą lukę natrafił zespół Wiz, który należy dziś do Google. Wiz wspierał się modelami AI od Google i OpenAI. W kolejnych dniach badacze potwierdzili, że potrafią przejąć stronę na WordPressie i Drupalu.

Przez dwa miesiące o luce wiedziało tylko wąskie grono specjalistów. Twórcy PHP przygotowywali w tym czasie poprawkę i wyznaczyli jej premierę na 21 października, godz. 16:00 czasu polskiego. Dzień wcześniej szczegóły wyciekły do sieci.

Europa gasi rządowe strony

Fińskie państwowe centrum informatyczne Valtori w środę zaczęło wyłączać rządowe strony. Jak podaje Bloomberg, nie wykryło przy tym śladów ataku. W Holandii z sieci zniknął m.in. DigiD, czyli holenderski odpowiednik Profilu Zaufanego, a także rządowy portal dla obywateli, strona parlamentu i witryna krajowego centrum cyberbezpieczeństwa. Informację podał nadawca NOS. Strony urzędów zgasły też w Belgii i Francji.

Agencje cyberbezpieczeństwa z Europy, Australii, Japonii i Wielkiej Brytanii zaapelowały do właścicieli stron, by wdrożyli poprawkę od razu albo wyłączyli serwisy do czasu aktualizacji.

Hakerzy szybsi niż poprawka

Cloudflare chroni miliony stron przed atakami. Dyrektor ds. technologii firmy Dane Knecht napisał w środę rano na platformie X, że Cloudflare widzi pierwsze ataki. Było to niemal sześć godzin przed premierą poprawki. Firma wprowadziła awaryjne blokady dla wszystkich klientów, ale Knecht nazwał je rozwiązaniem tymczasowym.

Kilka agencji zastrzega jednak, że nie zna przypadków udanego włamania ani wycieku danych przez tę lukę.

Co to oznacza dla firm i internautów

Zwykły internauta nie musi nic robić, bo cały obowiązek spoczywa na właścicielach stron. Nic też nie wskazuje na to, że sama wizyta na zagrożonej stronie zainfekuje komputer.

Firmy mają więcej pracy. Aktualizacja samej strony czy jej dodatków nic nie da, bo błąd tkwi w PHP. Właściciel serwisu musi zaktualizować PHP na swoim serwerze albo poprosić o to firmę, która utrzymuje jego stronę. Jeśli poprawki nie da się wdrożyć od razu, unijny zespół reagowania na incydenty CERT-EU radzi czasowo odciąć stronę od internetu.

Sztuczna inteligencja na dwa fronty

OpenAI uruchomiło Patch the Planet w czerwcu 2026 r. razem z kilkoma firmami bezpieczeństwa. Modele AI przeczesują kod popularnych darmowych programów, a eksperci sprawdzają każde zgłoszenie, zanim trafi ono do twórców. Według OpenAI program wykrył już setki problemów i pomógł wdrożyć dziesiątki poprawek.

Eksperci, których cytuje serwis CSO Online, podkreślają, że AI nie zastąpi specjalistów. Zamiast szukać błędów, ludzie muszą teraz oceniać ich wagę i decydować, kiedy ujawnić lukę. Historia z PHP pokazuje drugą stronę medalu. AI znajduje dziury szybciej, niż firmy zdążą je załatać, a każdy wyciek przed premierą poprawki daje przewagę przestępcom.