OpenAI ทบทวนเหตุช่องโหว่ PHP: ประสานงานลับสองเดือน แต่กลับถูกรั่วไหลจากฟอรัมก่อนกำหนด

动察 Beating ข่าวด่วน AI，OpenAI เผยแพร่บทความทบทวนเหตุการณ์ช่องโหว่ PHP ที่เบื้องหลังมีการซ่อมแซมลับต่อเนื่องสองเดือน บริษัทความปลอดภัย Calif ใช้ GPT-5.6 Sol ค้นพบช่องโหว่ร้ายแรงใน PHP บริษัทความปลอดภัยอีกแห่ง Wiz ก็ใช้โมเดล Gemini 4 Argon, GPT-5.6 Sol เป็นต้น ค้นพบและรายงานช่องโหว่สองรายการอย่างอิสระ ปัญหาเหล่านี้ซ่อนอยู่ในระดับล่างของ PHP มานานกว่าสิบปี ผู้โจมตีอาจไม่ต้องเข้าสู่ระบบก็สามารถควบคุมเซิร์ฟเวอร์ของเว็บไซต์ที่ได้รับผลกระทบ หรือแม้แต่ขโมยรหัสผ่านและข้อมูลที่ละเอียดอ่อนอื่นๆ

PHP รองรับเว็บไซต์จำนวนมากเช่น WordPress, Drupal ตลอดสองเดือนที่ผ่านมา OpenAI เป็นผู้นำในการประสานงานผู้ดูแล PHP, Wiz, Cloudflare และองค์กรอื่นๆ ในการเตรียมแพตช์และมาตรการป้องกันภายใต้สถานะที่เป็นความลับ ยังได้สื่อสารกับทำเนียบขาวและหน่วยงานความปลอดภัยไซเบอร์ของสหรัฐฯ การซ่อมแซมจริงนำโดยผู้ดูแล PHP เกี่ยวข้องกับไฟล์เกือบ 200 ไฟล์ โค้ดกว่าหมื่นบรรทัด

เดิมทีวางแผนเปิดเผยช่องโหว่ในวันที่ 22 ตุลาคม แต่ไม่คาดคิดว่าวันที่ 20 มีคนในฟอรัม Hacker News เปิดเผยหมายเลขช่องโหว่ ระดับความรุนแรง และเวลาที่จะเปิดเผยล่วงหน้า ทีม PHP ถูกบังคับให้ออกประกาศเตือนภัยล่วงหน้า เลื่อนวันเผยแพร่แพตช์เร็วขึ้นหนึ่งวัน Cloudflare ยืนยันในภายหลังว่าได้สังเกตเห็นความพยายามโจมตีในช่วงแรกแล้ว เว็บไซต์รัฐบาลบางแห่งในเนเธอร์แลนด์ ฟินแลนด์ และประเทศอื่นๆ ก็ปิดระบบเองเพื่อหลีกเลี่ยงความเสี่ยง จนถึงวันที่ 21 ตุลาคม PHP จึงเปิดตัวเวอร์ชันซ่อมแซมอย่างเป็นทางการ เว็บไซต์ต่างๆ ยังต้องอัปเกรดด้วยตนเอง

OpenAI เรียกช่วงเวลาที่ค้นพบล่วงหน้าและประสานงานซ่อมแซมนี้ว่า "หน้าต่างผู้ป้องกัน" การวิจัยของ Wiz แสดงให้เห็นว่า ด้วยโมเดล AI ชั้นนำ วิธีการโจมตีช่องโหว่ที่ซับซ้อนซึ่งเดิมทีต้องใช้ทีมความปลอดภัยชั้นนำใช้เวลาหลายเดือนในการพัฒนา ตอนนี้อาจทำเสร็จโดยนักวิจัยคนเดียวภายในหนึ่งสัปดาห์ AI ทำให้ผู้ป้องกันค้นหาปัญหาความปลอดภัยที่ซ่อนมานานหลายปีได้ง่ายขึ้น และยังลดอุปสรรคทางเทคนิคสำหรับผู้โจมตีในการใช้ช่องโหว่เหล่านี้อย่างมาก