أرسلت وكالة الأمن القومي الأمريكية تحذيرًا مثيرًا للقلق يوم الأربعاء بأنه تم اكتشاف اثنتين من نقاط الضعف الخطيرة في PHP، مع إصلاحات تم إصدارها بالفعل بواسطة مؤسسة PHP.

PHP هي لغة برمجة من جانب الخادم تستخدم على نطاق واسع لتطبيقات الويب بحيث تعمل على تشغيل ما يقرب من 70٪ من مواقع الويب على الإنترنت؛ حسب بعض الحسابات، هذا أكثر من 33 مليون موقع. كما أنها تستخدم من قبل أنظمة إدارة المحتوى الشهيرة مثل WordPress.

]

حذرت وكالة الأمن القومي من أن هذه العيوب خطيرة جدًا لدرجة أنه إذا لم يكن من الممكن إصلاح موقع ويب على الفور، فيجب إزالته من الويب حتى يمكن إصلاحه. تسمح هذه العيوب للمهاجمين بالتسلل إلى نظام ملفات الخادم أو قاعدة البيانات التي يمكن استخدامها بواسطة تطبيق الويب.

ومن المثير للاهتمام، أن هذه العيوب كانت مخفية في كل إصدار من PHP منذ الإصدار 5، الذي تم إصداره في عام 2004. ستحتاج مواقع الويب التي لا تعمل بإصدارات حديثة نسبيًا من PHP إلى التحديث، حيث لم يعد PHP 8.1 والإصدارات الأقدم مدعومة. يوصى بتحديث خادم الويب إلى الإصدار الحالي من PHP، أي الإصدار 8.5.12.

إذن، كيف ظهر فجأة عيبان موجودان في كل مكان منذ عقود يؤثران على كل موقع ويب تقريبًا على الإنترنت؟ الذكاء الاصطناعي، بالطبع، لا سيما من خلال OpenAI وGoogle's Wiz.

وقعت شركة الاختبارات الأمنية Calif على مبادرة "Patch the Planet" التابعة لـ OpenAI للعثور على العيوب في البرامج مفتوحة المصدر. باستخدام GPT‑5.6 Sol، تم العثور على أحد العيوب، كما كشفت OpenAI في منشور بالمدونة. بالإضافة إلى ذلك، استخدم فريق Wiz أيضًا الذكاء الاصطناعي، وتحديدًا وكيل الأمان Wiz Atlas وGemini 4 Argon وGPT-5.6 Sol، للعثور على العديد من نقاط الضعف في PHP. اتبع كل من OpenAI وWiz ممارسات بحث أمنية مسؤولة وعملا مع PHP على الإصلاحات قبل الكشف علنًا عن الثغرات الأمنية. ثم عملوا جميعًا معًا لتوضيح ما اكتشفوه واختبار الإصلاحات، والاستعانة بالعديد من الأشخاص الآخرين للمساعدة.

وجه Wiz الشكر إلى Automattic وAkamai وAWS وCloudflare وFastly وImperva وMicrosoft وVercel. (على الرغم من أن مواقع WordPress تستخدم لغة PHP، إلا أن WordPress أصدر بيانًا يقول فيه إن الخلل ليس خاصًا بـ WordPress وأن المواقع التي تقوم بتشغيل نظام إدارة المحتوى الخاص به يجب أن تقوم بتصحيح خوادمها والعمل مع شركات استضافة الويب الخاصة بها لضمان حماية مواقعها.) تدعي OpenAI أن الباحثين اكتشفوا هذه العيوب قبل أن يكتشفها المتسللون. ولذلك لم يتم الإبلاغ عن أي مآثر في البرية. ويرجع ذلك جزئيًا أيضًا إلى أنه قبل الذكاء الاصطناعي، كان من الصعب جدًا على المتسللين استغلال نقاط الضعف هذه. "مع الذكاء الاصطناعي، لم يعد هذا عائقًا. يمكن لخريجي LLM المساعدة في تكييف الاستغلال مع الإصدارات والتكوينات وتكوينات الذاكرة المختلفة لـ PHP،" حذر Wiz في مدونته حول العيوب. AI.

الآن بعد أن تم الكشف عن المشكلة، أصبح المتسللون على علم تام بها. بدأ السباق على شبكة الإنترنت لإصلاح عشرات الملايين من مواقع الويب قبل أن يتمكن المتسللون من مهاجمة المواقع التي لم يتم إصلاحها. ومن هنا نصيحة وكالة الأمن القومي (NSA) بأنه إذا لم تتمكن من تحديث موقع PHP الخاص بك على الفور، فمن الأفضل أن تجعله غير متصل بالإنترنت حتى تتمكن من ذلك.