Luka w OpenSSL wykryta przez AI. Administratorzy powinni pilnie zaktualizować biblioteki

Fundacja OpenSSL opublikowała zestaw poprawek dla 18 luk bezpieczeństwa, z których najpoważniejsza – oznaczona jako CVE-2026-45447 – może prowadzić do zdalnego wykonania kodu. Podatność została odkryta przez badacza we współpracy z modelem sztucznej inteligencji Anthropic. Dla administratorów systemów i firm korzystających z OpenSSL to sygnał, by niezwłocznie zaplanować aktualizację.

Co wiadomo o podatności CVE-2026-45447

Jak informuje SecurityWeek, CVE-2026-45447 to podatność typu use-after-free (użycie po zwolnieniu) w funkcji odpowiedzialnej za weryfikację standardu PKCS#7. Błąd może zostać uruchomiony poprzez przesłanie specjalnie spreparowanej wiadomości PKCS#7 lub S/MIME podczas procesu weryfikacji podpisu. „Gdy pole SignedData digestAlgorithms występuje jako pusty zbiór ASN.1 SET, OpenSSL może błędnie zwolnić obiekt BIO należący do ​​wywołującego podczas PKCS7_verify()” – wyjaśniają twórcy OpenSSL. W konsekwencji dochodzi do naruszenia pamięci, awarii procesu, a w sprzyjających warunkach – do zdalnego wykonania kodu.

Podatność otrzymała wysoką ocenę ryzyka w skali CVSS, co oznacza, że jej eksploatacja nie jest trywialna, ale potencjalne skutki mogą być poważne. To druga luka o wysokiej dotkliwości w OpenSSL w 2026 roku – przypomina raport. W zeszłym roku załatano tylko jedną taką podatność.

Rola sztucznej inteligencji w wykrywaniu błędu

Lukę odkrył badacz z Kalifornii we współpracy z modelem AI Anthropic (prawdopodobnie chodzi o model Mythos). Alex Gaynor z Anthropic został wymieniony jako osoba odpowiedzialna za zgłoszenie aż sześciu z 18 załatanych podatności. Choć producent nie podaje szczegółów, w jakim stopniu AI wspomogło analizę, wykorzystanie modeli językowych do przeszukiwania kodu źródłowego staje się coraz popularniejszą praktyką w branży bezpieczeństwa. Warto jednak zachować ostrożność – jak zauważa Bruce Schneier, projekt Glasswing od Anthropic, który pozwala firmom szukać błędów we własnym oprogramowaniu, „znajduje wiele podatności, ale prawie żadna nie została załatana”. Schneier podkreśla też, że brak przejrzystości danych i mechanizmów weryfikacji rodzi wątpliwości co do realnej skuteczności takich narzędzi.

Pozostałe załatane luki – nie tylko wysoki priorytet

Oprócz CVE-2026-45447 w zestawie poprawek znalazło się kilkanaście podatności o niższej dotkliwości. Część z nich może zostać wykorzystana do odszyfrowania komunikacji, fałszowania szyfrogramów, ataków DoS, ominięcia weryfikacji integralności czy wykonania dowolnego kodu. Jedna ze średnio-poważnych luk umożliwia oszukanie systemu i przyjęcie fałszywego certyfikatu oraz klucza prywatnego – atak ma szansę powodzenia 1 na 256 prób. Podatności niskiego ryzyka mogą prowadzić do awarii, odzyskania kluczy prywatnych lub podmiany certyfikatów głównych urzędów certyfikacji. Pełną listę znajdziesz w oficjalnym biuletynie OpenSSL.

Co powinni zrobić administratorzy i firmy

Nie ma potwierdzeń, by którakolwiek z tych luk była wykorzystywana w atakach na żywych systemach. Mimo to zalecenie jest jednoznaczne: należy jak najszybciej zaktualizować biblioteki OpenSSL do wersji, które zawierają poprawki. Dotyczy to zarówno serwerów, jak i aplikacji oraz urządzeń sieciowych korzystających z OpenSSL. Weryfikacja wersji i harmonogram aktualizacji powinny być priorytetem, zwłaszcza w środowiskach produkcyjnych.

Dla zespołów IT warto dodać, że narzędzia AI mogą w najbliższych latach znacząco zwiększyć liczbę wykrywanych podatności. Oznacza to, że proces zarządzania łatkami będzie musiał być szybszy i lepiej zautomatyzowany. W przypadku OpenSSL – biblioteki używanej przez setki milionów urządzeń – szybka reakcja jest kluczowa.

Administratorzy powinni śledzić komunikaty CERT Polska oraz biuletyny OpenSSL, by być na bieżąco z kolejnymi poprawkami. Systematyczna aktualizacja oprogramowania pozostaje najskuteczniejszą obroną przed atakami wykorzystującymi znane luki.