Forbes podał, że GPT-5.6 Sol pomógł badaczom wykryć luki w PHP w ramach inicjatywy Patch the Planet. Zespół PHP ogłosił 21 października 2026 r. wydanie PHP 8.5.12, które naprawia dwie podatności, a AWS odnotowała próbę ich wykorzystania 17 października. AWS nie potwierdziła, że próba powiodła się na rzeczywistych systemach.
Jak OpenAI uczestniczyło w badaniu luk PHP
Według Forbes badacze wewnętrzni i zewnętrzni korzystali z GPT-5.6 Sol w ramach prowadzonej przez OpenAI inicjatywy Patch the Planet. OpenAI i współpracownicy przez ponad dwa miesiące weryfikowali ustalenia oraz poprawki przed ich ujawnieniem.
Forbes podał, że w opisywanym przez niego zestawieniu 1 316 z 1 995 wykrytych błędów nadal czekało na poprawkę. W osobnym audycie 130 wdrożonych poprawek napisanych przez AI 16 spowodowało problemy z działaniem, a w przypadku jednej odnotowano problem z wydajnością. Forbes zaznaczył też, że sprawdzanie poprawek wymagało znacznego nakładu pracy ludzi.
Jakie zasady dostępu mają Daybreak Blue i Red
Project Daybreak, czyli program OpenAI Trusted Access for Cyber, ma dwa poziomy dostępu. Blue ogranicza liczbę odmów w obsługiwanych modelach ogólnego przeznaczenia podczas zweryfikowanej pracy obronnej. Nie daje dostępu do modeli wyspecjalizowanych w cyberbezpieczeństwie. W przypadku Astra nadal obowiązują standardowe zabezpieczenia.
| Poziom | Dostęp do modeli | Zgoda i dozwolone użycie |
| Blue | Mniej odmów w obsługiwanych modelach ogólnego przeznaczenia podczas zweryfikowanej pracy obronnej; bez dostępu do modeli wyspecjalizowanych w cyberbezpieczeństwie | Wymaga zgody; standardowe zabezpieczenia i zasady OpenAI nadal obowiązują |
| Red | Dostęp do wybranych modeli cyberbezpieczeństwa oraz mniej odmów w niektórych obsługiwanych modelach | Wymaga osobnej zgody i ściślejszej weryfikacji; niektóre modele potrzebują dodatkowego zatwierdzenia |
OpenAI przeznacza Daybreak do pracy nad systemami, które użytkownik posiada, obsługuje lub ma wyraźne upoważnienie testować bądź analizować. Zasady programu zabraniają używania go w pracy dla zewnętrznych klientów i w przepływach z udziałem podmiotów trzecich. Blue ogranicza odmowy w określonych warunkach, ale nie znosi pozostałych zabezpieczeń ani reguł korzystania z usług OpenAI.
Co naprawia PHP 8.5.12
Zespół PHP ogłosił 21 października wydanie PHP 8.5.12 jako poprawkę bezpieczeństwa dla CVE-2026-109618 i CVE-2026-109619. Podatności mogą umożliwić zdalne wykonanie kodu bez uwierzytelnienia. Projekt PHP zachęca wszystkich użytkowników PHP 8.5 do aktualizacji i wskazuje ją jako jedyny bezpieczny sposób usunięcia problemu. Komunikat o wydaniu PHP 8.5.12 dotyczy tej wersji; nie należy na jego podstawie rozszerzać listy poprawek na inne gałęzie PHP.
Wcześniej opisaliśmy wydania PHP naprawiające oba błędy. Ten tekst uzupełnia tamtą informację o zasady dostępu OpenAI i chronologię obserwacji AWS.
Co AWS zaobserwowała przed ujawnieniem podatności
AWS podała, że jej telemetria MadPot zarejestrowała próbę wykorzystania PHP2Shell 17 października 2026 r. Publiczne ujawnienie podatności nastąpiło 21 października. AWS informowała również o kolejnych próbach tego dnia, ale zaznaczyła, że nie wiadomo, czy którakolwiek z zaobserwowanych prób powiodłaby się w rzeczywistych systemach. Raport AWS o PHP2Shell nie potwierdza więc skutecznego włamania w opisanym przypadku.
Podatności PHP 8.5.12 naprawia aktualizacją, a relacjonowane przez Forbes wyniki prac nad poprawkami pokazują, że ich weryfikacja i wdrożenie nadal wymagają pracy ludzi.
