أوبن إيه آي تقود إصلاحاً عالمياً لثغرتين حرجتين في PHP

أبرز النقاط

1. أوبن إيه آي قادت ائتلافاً لإصلاح ثغرتين حرجتين في PHP على مدى شهرين
2. PHP تشغّل غالبية مواقع الإنترنت، والإصلاح تم قبل أي استغلال معلن
3. نماذج الذكاء الاصطناعي صارت طرفاً في اكتشاف ثغرات البنية التحتية الرقمية

خبر:

ثغرتان حرجتان في لغة PHP، التي تشغّل غالبية مواقع الإنترنت وتطبيقاته، جرى إصلاحهما ضمن عملية تنسيق استمرت نحو شهرين قادتها أوبن إيه آي مع القائمين على صيانة المشروع وشركات أمن وجهات حكومية. وتقول الشركة إن النماذج الحدودية عثرت على الثغرات قبل المهاجمين، واصفة الحالة بأنها من أكثر القضايا الأمنية تأثيراً في الذاكرة الحديثة.

تفصيل:

• الاكتشاف: بحسب أوبن إيه آي، عثرت شركة Calif على ثغرة حرجة واحدة باستخدام نموذج GPT-5.6 Sol ضمن مبادرة Patch the Planet، فيما اكتشفت شركة Wiz الثغرتين بشكل مستقل وأبلغت عنهما. ولم تُعلن الشركة تفاصيل تقنية عن طبيعة الثغرتين.
• من أصلح: قاد القائمون على صيانة PHP عملية الإصلاح وإصدار النسخ المحدّثة، بينما قدّمت Wiz وكلاودفلير وجهات أخرى دعماً بحثياً وتقنياً وتنسيقاً على إجراءات حماية مؤقتة قبل الإفصاح العلني عن الثغرتين.
• أداة الفحص: أصدرت أوبن إيه آي أداة لفحص إصدارات PHP على شكل مهارة داخل Codex، تتيح للمشغّلين تحديد النسخ المعرّضة للخطر في أنظمتهم. ولم تحدد الشركة عدد الخوادم أو المواقع التي كانت معرّضة فعلياً.
• نافذة المدافع: تسمي أوبن إيه آي الفترة الفاصلة بين اكتشاف الثغرة بواسطة النماذج وبين وصول المهاجمين إليها نافذة المدافع، وتعتبرها المساحة الزمنية التي يستعد فيها المشغّلون بالإصلاحات والحمايات المؤقتة.
• الإطار المقترح: طرحت الشركة إطار استجابة من خمس مراحل: التحقق من الثغرة وإصلاحها مع اختبارات عدائية بنماذج حدودية، ومنح المؤسسات المتأثرة وقتاً مسبقاً، والتنسيق الحكومي، وتحديث المنتجات المتأثرة، ثم نشر الإرشادات ودعم التوزيع بعد توفر الإصلاح.
• الشركاء الحكوميون: في حالة PHP، شمل التنسيق قوة التفوق الفائق التابعة للبيت الأبيض ومكتب المدير الوطني للأمن السيبراني ووكالة الأمن السيبراني وأمن البنية التحتية، إضافة إلى شركاء دوليين لم تسمّهم أوبن إيه آي في إعلانها.
• الأرقام: أعلنت أوبن إيه آي عن مليار دولار في صلاحيات وصول مدعومة لمنتج Daybreak عبر برنامج موجّه للمؤسسات التي تحمي خدمات أساسية، من دون تحديد جدول زمني للصرف أو عدد الجهات المستفيدة.
• دعم المفتوح المصدر: تشمل الحزمة اشتراكات Codex مجانية للقائمين على صيانة المشاريع مفتوحة المصدر، ودعماً لمشاريع من بينها مؤسسة Rust، في مسار يستهدف الطبقة التي تعتمد عليها بنية الإنترنت التحتية.
• التحذير: حذّرت أوبن إيه آي من أن القدرة نفسها التي تكتشف الثغرات يمكن أن تساعد المهاجمين على بناء أدوات استغلال هجومية بسرعة، وقالت إنها تتوقع تزايداً حاداً في اكتشافات مشابهة خلال المرحلة المقبلة.

خلفية:

PHP لغة برمجة مفتوحة المصدر تعتمد عليها غالبية مواقع الإنترنت وتطبيقاته، ويديرها قائمون على الصيانة لا شركة واحدة، ما يجعل أي ثغرة حرجة فيها مسألة تطال ملايين الأنظمة دفعة واحدة.

بين السطور:

ماذا بعد؟

المؤشرات القابلة للمتابعة: وتيرة اعتماد المشغّلين لنسخ PHP المحدّثة، وظهور محاولات استغلال بعد الإفصاح العلني، وآلية صرف مليار دولار صلاحيات Daybreak والجهات التي ستحصل عليها.