Zbog ozbiljnog bezbednosnog propusta, prošle nedelje privremeno su ugašeni pojedini državni sajtovi u Nemačkoj, Francuskoj, Belgiji, Holandiji, Finskoj i Češkoj.
Američka Nacionalna bezbednosna agencija (NSA) i tim Evropske unije za odgovor na računarske incidente (CERT-EU) preporučili su da se sistemi koji ne mogu odmah da budu zaštićeni privremeno isključe sa interneta.
Uzrok je bila greška u PHP-u, programskom jeziku na kojem radi veliki deo interneta. Prema podacima W3Techsa, koristi ga gotovo sedam od deset sajtova za koje je poznato kojim su programskim jezikom napravljeni. Na PHP-u se zasnivaju i popularne platforme poput WordPressa, kao i softver koji koristi Vikipedija. Zbog novootkrivenih propusta, i Fondacija Vikimedija privremeno je isključila pojedine sisteme.
Ono što ovaj slučaj čini posebno zanimljivim jeste način na koji je problem otkriven.
Istraživači su uz pomoć veštačke inteligencije uspeli da pronađu i ispitaju ozbiljne slabosti koje su godinama promicale stručnjacima. Time su oni koji štite sisteme dobili priliku da reaguju pre napadača. Međutim, propusti u pripremi i objavljivanju bezbednosnih ispravki pokazali su koliko se ta prednost brzo može izgubiti.
Greška je postojala u sistemu godinama
PHP je programski jezik koji omogućava da sajtovi obavljaju različite funkcije, od prijavljivanja korisnika i pretraživanja sadržaja do pristupa bazama podataka. Za razliku od onoga što korisnik vidi na ekranu, veliki deo njegovog posla odvija se u pozadini, na serveru.
Problem nastaje kada se ozbiljna greška nalazi u samom programskom jeziku, a ne u pojedinačnom sajtu. U takvoj situaciji mogu biti ugroženi i sistemi čiji su vlasnici poštovali sva pravila i vodili računa o bezbednosti.
U ovom slučaju otkrivene su dve kritične ranjivosti koje su, pod određenim uslovima, omogućavale napadačima da bez lozinke izvršavaju komande na serveru. To je moglo da dovede do preuzimanja kontrole nad sistemom, krađe podataka ili prekida rada servisa. Hitne bezbednosne ispravke za ove programe objavljene su 21. oktobra.
Prema navodima kompanije Wiz, koja je učestvovala u istraživanju, problematični delovi programskog koda postojali su duže od deset godina.
Još zanimljivije je to što su programeri PHP-a prve naznake jednog od problema uočili još 2024. godine. Međutim, tada nisu uspeli da utvrde kako bi neko mogao da ga iskoristi za stvarni napad. Razmatrano je više načina da se greška otkloni, ali je svako rešenje nosilo određene rizike, pa se donošenje odluke odužilo.
PHP Foundation, neprofitna organizacija koja podržava razvoj ovog programskog jezika, priznala je da je kašnjenje bilo posledica problema u načinu odlučivanja, ali i nedostatka ljudi i sredstava.
Situacija se promenila u avgustu 2026. godine, kada su istraživači, koristeći modele veštačke inteligencije kompanija OpenAI i Google, pokazali kako se postojeće slabosti mogu iskoristiti za napad.
Kompanija Wiz tvrdi da je jedan njen istraživač, uz pomoć veštačke inteligencije, za nedelju dana uspeo da uradi ono za šta bi ranije timu vrhunskih stručnjaka bili potrebni meseci. To je procena same kompanije, koju nije moguće nezavisno potvrditi, ali dobro pokazuje koliko se brzo menjaju mogućnosti za pronalaženje bezbednosnih propusta.
Veštačka inteligencija tako nije samo pomogla da se pronađe greška, nego i da se vidi kako je moguće iskoristiti ove propuste.
To baš pojačava važnost sajber bezbednosti, tako da alati koji stručnjacima omogućavaju da brže otkrivaju ranjivosti mogu pomoći i napadačima da ih pronađu i iskoriste.
Kada su istraživači u avgustu prijavili otkrivene propuste, dogovoreno je da detalji ostanu poverljivi dok ne budu spremne bezbednosne ispravke. Takav postupak je uobičajen u sajber bezbednosti. Cilj je da proizvođači softvera i vlasnici sistema dobiju dovoljno vremena da otklone problem pre nego što informacije o njemu postanu dostupne napadačima.
Međutim, ovog puta plan nije sproveden do kraja.
Dan pre objavljivanja ispravki, na internetu su se pojavile prve informacije o ranjivostima. Iste večeri jedna od kompanija koje su učestvovale u istraživanju greškom je objavila snimak na kojem je prikazano kako se propust može iskoristiti za napad.
Iako je snimak brzo uklonjen, već je bio preuzet i počeo je da se širi internetom. Prema navodima PHP Foundation, to je ubrzalo razvoj alata za iskorišćavanje ranjivosti.
Problemi se tu nisu završili. Sledećeg jutra druga kompanija je, mimo dogovorenog rasporeda, objavila verziju softvera koja je već sadržala ispravke. Na taj način napadači su dobili dodatnu mogućnost da proučavanjem izmena otkriju gde se tačno nalazio problem, dok veliki broj korisnika još nije mogao da instalira zvanično ažuriranje.
Ispostavilo se, međutim, da su pokušaji napada počeli i pre toga.
Amazon je saopštio da je u svojim sistemima za praćenje zlonamernih aktivnosti zabeležio pokušaj iskorišćavanja ranjivosti još 17. oktobra, četiri dana pre zvanične objave. Reč je o posebno pripremljenim sistemima koji služe kao mamac za napadače, kako bi bezbednosni stručnjaci mogli da proučavaju njihove metode.
Nije poznato da li bi taj prvi pokušaj uspeo na stvarnom sajtu. Ipak, nakon objavljivanja informacija o ranjivostima, bezbednosne kompanije počele su da beleže nagli rast pokušaja napada.
Ovaj sled događaja pokazuje da otkrivanje greške i njeno otklanjanje nisu isto. Veštačka inteligencija pomogla je stručnjacima da pronađu problem koji je godinama ostao neprimećen, ali je sve što je usledilo ponovo zavisilo od ljudi, njihovih odluka i sposobnosti da se međusobno dogovore.
Tehnologija napreduje brže od sistema koji treba da je štite
Problem je nastao na ovolikoj a to je da veliki deo interneta oslanja se na softver čiju bezbednost održava relativno mali broj ljudi.
Na održavanju i zaštiti PHP-a radi manji tim stručnjaka, među kojima su zaposleni koje finansira fondacija i volonteri. Istovremeno, zahvaljujući razvoju veštačke inteligencije, broj prijavljenih ranjivosti naglo raste.
Od početka jula, prema podacima PHP Foundation, bezbednosni tim je obradio više od sto prijava za koje se ispostavilo da su netačne, da se ponavljaju ili da prijavljeni problem nije moguće potvrditi.
Veštačka inteligencija, dakle, ubrzava pronalaženje potencijalnih grešaka, ali ne znači da će svaka prijava biti tačna, niti da se svaka greška može jednostavno otkloniti.
Za takve poslove su i dalje potrebni iskusni programeri, vreme, novac i dobro organizovan proces odlučivanja.
Zbog toga PHP Foundation sada poziva kompanije i države čije usluge zavise od ovog programskog jezika da dugoročno finansiraju njegovu bezbednost.
Ovo pitanje prevazilazi sam PHP. Kako modeli veštačke inteligencije postaju sve sposobniji, razmak između otkrivanja bezbednosnog propusta i trenutka kada neko može da ga iskoristi postaje sve kraći.Institucije i kompanije zato više ne mogu da računaju na to da će imati nedelje ili mesece da reaguju. U pojedinim slučajevima presudni mogu biti sati.