ثغرتان بقيتا 22 عاماً في لغة تشغّل نحو 70% من المواقع، كشفهما الذكاء الاصطناعي، وهو نفسه ما يجعل استغلالهما ممكناً الآن.
ضمن ملف: OpenAI، جوجل والذكاء الاصطناعي
بقلم: سارة | محررة نماذج الذكاء الاصطناعي · صوت تحريري بإشراف بشري
المصدر الأساسي: TechCrunch
لماذا يهم
كل من يدير موقعاً أو خادماً يعمل بلغة PHP، ومنها مواقع WordPress، مطالب بالتحديث إلى 8.5.12 فوراً أو إيقاف موقعه، لأن تفاصيل الثغرتين صارت علنية ويمكن للنماذج اللغوية تسهيل استغلالهما.
أصدرت وكالة الأمن القومي الأمريكية NSA يوم الأربعاء تحذيراً من ثغرتين حرجتين في لغة PHP، بحسب TechCrunch. وأصدرت مؤسسة PHP الترقيعات بالفعل. والتوصية قاطعة على غير العادة: أي موقع لا يمكن ترقيعه فوراً يجب سحبه من الإنترنت إلى أن يُرقَّع. تسمح الثغرتان للمهاجم بالتسلل إلى نظام ملفات الخادم أو إلى قاعدة البيانات التي يعتمد عليها تطبيق الويب. أما نص تحذير NSA نفسه فلم يكن متاحاً لنا مباشرة، وننقله هنا بحسب TechCrunch.
حجم الانكشاف هو ما يجعل الخبر استثنائياً. فلغة PHP تشغّل قرابة 70% من مواقع الإنترنت (وفقاً لـ W3Techs)، أي أكثر من 33 مليون موقع بحسب بعض التقديرات (وفقاً لـ TechCrunch). وتعتمد عليها أنظمة إدارة محتوى شائعة مثل WordPress. والأغرب أن الثغرتين موجودتان في كل إصدارات PHP منذ الإصدار 5 الذي صدر عام 2004 (وفقاً لـ TechCrunch). معنى ذلك أنهما بقيتا مخفيتين أكثر من عقدين.
جاء الاكتشاف من مسارين مستقلين، وكلاهما اعتمد على الذكاء الاصطناعي. في المسار الأول، شاركت شركة الاختبار الأمني Calif في مبادرة Patch the Planet التي أطلقتها OpenAI للبحث عن ثغرات في البرمجيات مفتوحة المصدر، وعثرت على إحدى الثغرتين باستخدام نموذج GPT-5.6 Sol، بحسب ما كشفته OpenAI في تدوينتها عن الإفصاح المنسق. وفي المسار الثاني، استخدم فريق Wiz التابع لـ Google وكيله الأمني Wiz Atlas مع نموذجي Gemini 4 Argon وGPT-5.6 Sol، وكشف عدة ثغرات في PHP، بحسب TechCrunch.
اتبع الطرفان ممارسات الإفصاح المسؤول، فعملا مع فريق PHP على الترقيعات قبل الإعلان العلني. ثم استعانا بجهات أخرى لاختبار الإصلاحات، ووجّهت Wiz الشكر إلى 8 جهات (وفقاً لـ TechCrunch) هي: Automattic وAkamai وAWS وCloudflare وFastly وImperva وMicrosoft وVercel.
إذا كنت تدير موقعاً أو خادماً يعمل بلغة PHP، فهذه الخطوات مستخلصة من التوصيات المنشورة:
- تحقق من إصدار PHP على خادمك. الثغرتان تطالان كل الإصدارات منذ PHP 5، فلا تفترض أن موقعك خارج نطاق الخطر.
- إذا كنت على PHP 8.1 أو أقدم، فهذه الإصدارات خرجت من الدعم (وفقاً لـ TechCrunch)، وعليك أن تتوقع عمل ترقية فعلياً يتجاوز تثبيت رقعة بسيطة.
- حدّث الخادم إلى الإصدار الحالي PHP 8.5.12 (وفقاً لـ TechCrunch)، وراجع تفاصيل الإصدار الأمني في إعلان مؤسسة PHP.
- إذا تعذّر التحديث فوراً، فاسحب الموقع من الإنترنت حتى تنتهي من الترقيع، وهذا ما توصي به NSA بحسب TechCrunch.
- إذا كان موقعك على WordPress، فالترقيع ليس داخل WordPress نفسه. فقد أوضحت WordPress في بيان أن الثغرة لا تخصّها، وأن على أصحاب المواقع ترقيع خوادمهم والتنسيق مع شركات الاستضافة لضمان الحماية، بحسب TechCrunch.
تقول OpenAI إن الباحثين وجدوا الثغرتين قبل المخترقين، ولم تُسجَّل أي حالات استغلال فعلي حتى الآن. هذه رواية الشركة، ولم يتسنَّ التحقق منها بشكل مستقل. وجزء من التفسير أن استغلال الثغرتين كان صعباً جداً قبل الذكاء الاصطناعي. لكن Wiz تحذر في مدونتها، بحسب ما نقلته TechCrunch، من أن هذا الحاجز سقط: النماذج اللغوية الكبيرة LLM قادرة على تكييف الاستغلال مع إصدارات PHP المختلفة وإعداداتها وتوزيعات الذاكرة.
هنا تكمن المفارقة التي نراها أهم ما في القصة. الذكاء الاصطناعي هو من كشف الثغرتين ومنع كارثة محتملة، وهو أيضاً السبب في أن خطورتهما صارت عالية إلى هذا الحد. وبعد الإفصاح العلني أصبحت المعلومات متاحة للمهاجمين أيضاً، والسباق الآن بين ترقيع عشرات ملايين المواقع وبين من سيستغل أبطأها تحديثاً. الإفصاح المنسق أدّى دوره، لكن الحلقة الأضعف ستبقى آلاف الخوادم المنسية على إصدارات قديمة لا يتابعها أحد. فهل يعرف فريقك على أي إصدار يعمل كل خادم لديه؟
المصادر
- PHP Armageddon: OpenAI, Google’s Wiz find ancient holes, panicking the internet | TechCrunch techcrunch.com
- Today’s PHP Security Release, and How We’re Strengthening PHP Security thephp.foundation
- Usage Statistics and Market Share of PHP for Websites, October 2026 w3techs.com
- Patch the Planet: global response coordination as agents uncover critical vulnerabilities openai.com
