In PHP zwei kritische Sicherheitslücken geschlossen, die mithilfe von KI entdeckt wurden
Das PHP-Entwicklerteam hat am 21. Oktober Notfall-Updates veröffentlicht, die zwei kritische Sicherheitslücken beheben. Sie ermöglichten es einem Angreifer, aus der Ferne beliebigen Code auf dem Server auszuführen, ohne sich zu authentifizieren. Aktualisiert wurden die Versionen 8.5.12, 8.4.27, 8.3.36 und 8.2.35.
Die Schwachstellen wurden von IT-Sicherheitsexperten mithilfe von Modellen der künstlichen Intelligenz aufgespürt. Laut OpenAI erfolgte die Suche im Rahmen der Initiative Patch the Planet. Betroffen waren PHP-Installationen, die Webanfragen verarbeiten, wobei das Risiko von der Konfiguration des jeweiligen Servers abhing.
Eine der Lücken hängt mit der Beschädigung des internen Systemzustands bei Speichermangel zusammen. Die zweite entsteht durch die Verwendung veralteter Daten nach der Freigabe von Speicher. Als gefährlichstes Szenario stuften die PHP-Entwickler die Ausnutzung über mod_php ein, bei der ein Angriff bereits vor der Ausführung des Anwendungscodes beginnen konnte. Zuvor hatten wir bereits über die Behebung zweier kritischer PHP-Schwachstellen und die ersten festgestellten Angriffe berichtet.
Die Vorbereitung der Korrekturen dauerte etwa zwei Monate. Beteiligt waren die PHP-Entwickler, Fachleute der Unternehmen Calif, Wiz und Cloudflare sowie Vertreter der US-Behörde für Cybersicherheit und Infrastruktursicherheit (CISA) und des Weißen Hauses. Die Beteiligten stimmten den Zeitpunkt der Offenlegung so ab, dass Entwickler und Softwareanbieter ihre Patches vor der öffentlichen Bekanntgabe fertigstellen konnten.
Entwicklern und Serveradministratoren wird dringend empfohlen, PHP umgehend auf die korrigierten Versionen zu aktualisieren. Zur Überprüfung der installierten Versionen hat OpenAI das Diagnosetool php2shell-checker auf GitHub veröffentlicht.
Darüber hinaus schlägt OpenAI vor, das angewandte Vorgehen als Standardverfahren für die Offenlegung kritischer, durch KI gefundener Schwachstellen festzuschreiben. Nach Ansicht des Unternehmens würde ein einheitliches Verfahren Entwicklern, Sicherheitsforschern und staatlichen Stellen einen schnelleren Informationsaustausch ermöglichen und dafür sorgen, dass Korrekturen erscheinen, bevor technische Details öffentlich werden.
