أرسلت وكالة الأمن القومي الأمريكية تحذيرًا مقلقًا يوم الأربعاء بأنه قد عُثر على ثغرتين حرجتين في PHP، مع أن التصحيحات قد صدرت بالفعل من قبل مؤسسة PHP.
PHP هي لغة برمجة من جهة الخادم تُستخدم على نطاق واسع جدًا لتطبيقات الويب حتى إنها تشغّل نحو 70% من المواقع على الإنترنت؛ وبحسب بعض التقديرات، يعني ذلك أكثر من 33 مليون موقع. كما تُستخدم أيضًا في أنظمة إدارة المحتوى الشهيرة مثل ووردبريس.
حذّرت وكالة الأمن القومي من أن هذه الثغرات خطيرة إلى درجة أنه إذا تعذّر تصحيح موقع ويب فورًا، فيجب سحبه من الويب حتى يتسنى تصحيحه. تسمح الثغرات للمهاجمين بالتسلل إلى نظام ملفات الخادم أو قاعدة بيانات قد يستخدمها تطبيق الويب.
واللافت أن هذه الثغرات كانت مختبئة في جميع إصدارات PHP منذ الإصدار 5، الذي صدر عام 2004. المواقع التي لا تستخدم إصدارات PHP حديثة نسبيًا سيكون عليها بعض أعمال التحديث، إذ لم تعد الإصدارات 8.1 وما أقدم مدعومة. التوصية هي تحديث خادم الويب إلى الإصدار الحالي من PHP، وهو 8.5.12.
فكيف ظهرت فجأة ثغرتان قديمتان منتشرتان إلى هذا الحد تمسّان تقريبًا كل موقع على الإنترنت؟ بالذكاء الاصطناعي بطبيعة الحال، وتحديدًا عبر OpenAI وشركة Wiz التابعة لـ Google.
شركة الاختبارات الأمنية Calif شاركت في مبادرة OpenAI بعنوان “Patch the Planet” للعثور على ثغرات في البرمجيات مفتوحة المصدر. وباستخدام GPT‑5.6 Sol وجدت إحدى الثغرتين، كما كشفت OpenAI في تدوينة. وفي سياق منفصل، استخدم فريق Wiz أيضًا الذكاء الاصطناعي، وتحديدًا وكيله الأمني Wiz Atlas، وGemini 4 Argon، وGPT-5.6 Sol للعثور على ثغرات متعددة في PHP.
اتبع كلٌّ من OpenAI وWiz ممارسات البحث الأمني المسؤول وعملتا مع PHP على التصحيحات قبل الإفصاح العلني عن الثغرات. ثم عمل الجميع معًا لتوضيح ما وجدوه واختبار التصحيحات، مستقطلين عددًا كبيرًا من الآخرين للمساعدة.
شكرت Wiz كلًا من Automattic وAkamai وAWS وCloudflare وFastly وImperva وMicrosoft وVercel. (وبينما تستخدم مواقع ووردبريس لغة PHP، فقد أصدرت ووردبريس بيانًا تقول فيه إن الثغرة ليست خاصة بووردبريس، وأن المواقع التي تشغّل نظام إدارة المحتوى الخاص به يجب أن تصحح خوادمها وتتعاون مع شركات استضافة الويب لديها لضمان حماية مواقعها.)
تقول OpenAI إن هذه الثغرات وجدها الباحثون قبل أن يكتشفها المخترقون. فلم تكن هناك تقارير عن استغلالها في البرية. ويعود ذلك جزئيًا أيضًا إلى أنه قبل الذكاء الاصطناعي كانت هذه الثغرات صعبة الاستغلال أكثر من اللازم بالنسبة للمخترقين. “مع الذكاء الاصطناعي لم يعد هذا عائقًا. يمكن للنماذج اللغوية الكبيرة المساعدة في تكييف ثغرة استغلال مع إصدارات PHP وتكوينات وتخطيطات ذاكرة مختلفة،” حذّرت Wiz في تدوينتها حول هذه الثغرات.
بعبارة أخرى، هذا هو نوع المشكلة الأمنية التي وُجدت ووُقيت بفضل الذكاء الاصطناعي، لكنها في الوقت نفسه خطر كبير بسببه فقط.
والآن بعد الكشف عن المشكلة، أصبح المخترقون على علم كامل بها. والسباق جارٍ ليقوم الإنترنت بتصحيح عشرات ملايين المواقع قبل أن يتمكن المخترقون من مهاجمة المواقع غير المصححة. ومن هنا جاءت توصية وكالة الأمن القومي بأنه إذا لم تستطع تصحيح موقعك المبني على PHP فورًا، فمن الأفضل سحبه من الشبكة حتى تتمكن من ذلك.