ذكاء OpenAI الاصطناعي يكتشف ثغرة في PHP عمرها عقد ثم ينسق إصلاحها
تسببت ثغرتان أمنيتان خطيرتان في PHP، لغة البرمجة النصية التي تشغل حصة كبيرة من مواقع الويب في العالم، في حالة من التدافع العالمي النادرة هذا الأسبوع. تم اكتشاف الأخطاء بمساعدة أدوات الذكاء الاصطناعي من OpenAI، ثم تم إصلاحها في اندفاع منسق شارك فيه مشرفو البرمجيات وشركات الأمن ومزودو الخدمات السحابية ووكالات الأمن السيبراني الوطنية، وفقًا لـ OpenAI وباحثي الأمن.
حصلت الثغرتان، المجموعتان تحت الاسم المستعار PHP2Shell والمتتبعتان كـ CVE-2026-109618 وCVE-2026-109619، على تقييم 9.2 من 10 على مقياس الخطورة CVSS v4.0. في أسوأ الحالات، يمكن للمهاجم تنفيذ تعليمات برمجية عشوائية على خادم ضعيف، وهو أمر بالغ الخطورة بقدر ما يمكن أن يكون في أمن الويب. ويُقال إن هذه العيوب كانت كامنة في قاعدة التعليمات البرمجية لأكثر من عقد من الزمان.
جاء الاكتشاف من برنامج Patch the Planet التابع لـ OpenAI، وهي مبادرة تجمع نماذج الذكاء الاصطناعي مع باحثي الأمن للبحث عن نقاط الضعف في البرمجيات مفتوحة المصدر واسعة الاستخدام. ويُقال إن شركة الأمن Calif وشركة الأمن السحابي Wiz كشفتا بشكل مستقل عن مشكلات PHP بمساعدة الذكاء الاصطناعي في أغسطس. وما تلا ذلك كان حوالي شهرين من العمل الهادئ لإعداد الإصلاحات قبل أن يتمكن أي شخص من تحويل هذه الأخطاء إلى سلاح.
تعطلت تلك الخطة عندما تسربت التفاصيل في 20 أكتوبر، على ما يبدو قبل موعد الإصدار المنسق. أرسل التسريب فرق عمليات PHP إلى ليلة طويلة، حيث سارع المسؤولون إلى تقييم التعرض وتطبيق التدابير الوقائية. وطرحت مؤسسة PHP التصحيحات الرسمية في 21 أكتوبر، ونشرت OpenAI روايتها للجهد بأكمله في اليوم نفسه.
القصة مهمة إلى أبعد بكثير من منتديات المطورين. فـ PHP تدعم أنظمة إدارة المحتوى والمنتديات والمتاجر عبر الإنترنت، وتضع التقديرات المتداولة في وسائل الإعلام التقنية الصينية وصولها عند حوالي سبعين في المئة من مواقع الويب. إن ثغرة قابلة للاستغلال عن بُعد في تلك الطبقة تشكل خطرًا نظاميًا وليس خطرًا هامشيًا، ولهذا انضم مزودو الخدمات السحابية وهيئات الأمن الحكومية إلى الاستجابة.
بالنسبة لـ OpenAI، فإن Patch the Planet هو أيضًا بيان حول كيف يمكن للذكاء الاصطناعي أن يغير أبحاث الثغرات. لطالما كان العثور على الأخطاء على نطاق واسع عملًا بطيئًا ويدويًا. يمكن لنماذج الذكاء الاصطناعي فحص قواعد تعليمات برمجية ضخمة بسرعة، لكن الجزء الأصعب هو الآلية البشرية التي تتبع ذلك: التحقق من النتائج، وكتابة التصحيحات، وتحذير البائعين، والحفاظ على سرية كل شيء حتى يتمكن المستخدمون من التحديث. وقد اختبرت حادثة PHP تلك الآلية تحت ضغط التسريب.
تسلط الحادثة الضوء أيضًا على توتر متزايد. الاكتشاف بمساعدة الذكاء الاصطناعي يعني أن المزيد من العيوب ستظهر بشكل أسرع، وليس كل مشروع لديه المشرفون أو الموارد للاستجابة بسرعة. أصبحت أعراف الإفصاح المنسق، التي كانت ذات يوم زاوية هادئة في الصناعة، تمرينًا لوجستيًا عالميًا يضم شركات ووكالات نادرًا ما تتحدث مع بعضها البعض.
بالنسبة للمستخدمين العاديين والشركات، تبقى النصيحة العملية دون تغيير: قم بتحديث تثبيتات PHP والبرمجيات التابعة لها على الفور، وراقب إشعارات البائعين. بالنسبة للصناعة، قد يكون الدرس هو أن الذكاء الاصطناعي أصبح الآن جزءًا من سلسلة التوريد الأمنية، وأن السباق لم يعد فقط حول العثور على الأخطاء بل حول إصلاحها قبل أن يكتشفها الإنترنت.