أعلن القائمون على لغة البرمجة PHP، التي تشغّل ما يصل إلى 70% من مواقع الإنترنت في العالم، عن ثغرة أمنية حرجة اكتُشفت بمساعدة الذكاء الاصطناعي، ويمكن أن يستغلها مخترقون للسيطرة على أي نظام يعمل بهذه التقنية، في وقت يسابق فيه مسؤولو المواقع الزمن لتثبيت التحديثات قبل أن تستغلها أدوات ذكاء اصطناعي متقدمة.
وتتيح الثغرة، التي أُطلق عليها اسم PHP2Shell، تشغيل برمجيات غير مصرح بها على الخادم، ما يمكّن المهاجم من سرقة المعلومات أو شن هجوم سيبراني على زوار الموقع المخترق.
وأفاد بعض مشغلي المواقع الحكومية والتجارية بأنهم أوقفوا مواقعهم عن العمل احترازياً، بينما بدأ تداول تقارير عن محاولات هجوم أمس الأربعاء، بحسب صحيفة "وول ستريت جورنال".
ثغرة منسية لعقود
كما تنتمي الثغرة إلى فئة من المشكلات المرتبطة بطريقة إدارة PHP لذاكرة الحاسوب، ويمكن استغلالها بأساليب متعددة يستغرق بعضها ثوانيَ معدودة.
فيما وصف فولكر دوش، مهندس الأمن في المؤسسة غير الربحية التي تدير المشروع، المشكلة بأنها الأخطر التي تواجه PHP منذ أكثر من عقد، وشبّهها بثغرة هارتبليد التي دفعت العالم قبل أكثر من عشر سنوات إلى سباق لحماية مئات الآلاف من الخوادم.
وكان رايان أوستن، الباحث في شركة كاليف الأمنية، قد عثر على الخلل بمساعدة نموذج GPT-5.6 Sol من أوبن إيه آي خلال تدقيق للشفرة المصدرية لـPHP في أغسطس الماضي، وهو تدقيق موّلته أوبن إيه آي ضمن جهود شركات الذكاء الاصطناعي لمساعدة المشاريع مفتوحة المصدر على معالجة الثغرات. وظلت هذه الفئة من الأخطاء كامنة لسنوات، وسبق أن نبّه إليها باحث أمني قبل عقود، لكنها اعتُبرت شديدة الصعوبة في الاستغلال فأُهملت إلى حد كبير، بحسب تاي دونغ، الرئيس التنفيذي لكاليف.
كما تمكن أوستن من التحكم بالشفرة العاملة في الذاكرة عبر بضع عشرات من الطلبات إلى الخادم، إذ يستغرق الاختراق ثوانيَ في الأنظمة الأصغر وقد يمتد ساعات في الأكثر تعقيداً.
سباق مع الزمن
وفي 11 أوت، اتصل دونغ بدوش لإبلاغه بالأمر، لتتشكل سريعاً مجموعة عمل غير رسمية من باحثين أمنيين ومهندسي برمجيات تعاونت مع موزعي البرامج وشركات الأمن لابتكار حلول تسد الثغرة وتمنع استغلالها. وقال دوش إنه مرّ بلحظة صدمة تساءل فيها عما سيفعله، قبل أن يهدأ ويتجه إلى الإصلاح.
هذا وانضم إلى الجهود باحثون من فريق ويز للأمن السيبراني التابع لغوغل، قدموا أساليب اختراق جديدة توصلوا إليها بشكل مستقل عن كاليف، إضافة إلى نتائج من فريق الأبحاث في أوبن إيه آي.
ويمكّن الذكاء الاصطناعي باحثين حسني النية من كشف آلاف الثغرات، ما يثقل كاهل مشاريع مثل PHP بسيل من المشكلات المطلوب إصلاحها، غير أن PHP2Shell حظيت بأولوية قصوى لأن قدرة هذه الأدوات على الاختراق أثارت مخاوف من استغلال مجرمين لها في مواقع كثيرة قبل ترقيعها. ووصفها آمي لوتواك، المؤسس المشارك لشركة ويز، بأنها أخطر ثغرة اكتُشفت بالذكاء الاصطناعي حتى اليوم، ورجّح أنها كانت أعقد من أن تُكتشف من دونه.
تسريب يعجّل الإصلاح
إلى ذلك، حرص دونغ والباحثون على إبقاء الثغرة سراً أثناء العمل على الحلول، خشية أن يعثر عليها مخترق مدعوم بالذكاء الاصطناعي ويستغلها قبل اكتمال الإصلاح. وشمل الجهد نحو 200 ملف وأكثر من 10 آلاف سطر برمجي كتبها المطورون، وحُدد اليوم 22 أكتوبر موعداً لإصدار التحديث. غير أن أنباء التحديث تسربت الثلاثاء عبر منشور في موقع هاكر نيوز قبل الموعد بنحو يومين، فقرر فريق دوش تسريع الإصدار والتحذير من تحديث أمني حرج يصل الأربعاء، في خطوة وصفها بأنها توازن جيد لإبلاغ المدافعين دون منح المهاجمين وقتاً طويلاً لتطوير أدوات الاختراق.
ويشكّل إطلاق التحديثات عادةً بداية سباق بين المدافعين الذين يختبرون الإصلاحات ويثبتونها، والمخترقين الذين يدرسونها لمعرفة ما تغيّر فيها ثم يبتكرون طرق هجوم على تلك المناطق. ويرى خبراء أمن أن أدوات الذكاء الاصطناعي تنجز ذلك أسرع بكثير من البشر، ما قد يزيد المخاطر. وحذّر دونغ من أن أي شخص على منصة إكس قد يأخذ التحديثات ويشغّل عليها الذكاء الاصطناعي وينشر نصاً جاهزاً للاختراق، وعندها تعم الفوضى على حد وصفه.
المصدر: العربية.نت
أعلن القائمون على لغة البرمجة PHP، التي تشغّل ما يصل إلى 70% من مواقع الإنترنت في العالم، عن ثغرة أمنية حرجة اكتُشفت بمساعدة الذكاء الاصطناعي، ويمكن أن يستغلها مخترقون للسيطرة على أي نظام يعمل بهذه التقنية، في وقت يسابق فيه مسؤولو المواقع الزمن لتثبيت التحديثات قبل أن تستغلها أدوات ذكاء اصطناعي متقدمة.
وتتيح الثغرة، التي أُطلق عليها اسم PHP2Shell، تشغيل برمجيات غير مصرح بها على الخادم، ما يمكّن المهاجم من سرقة المعلومات أو شن هجوم سيبراني على زوار الموقع المخترق.
وأفاد بعض مشغلي المواقع الحكومية والتجارية بأنهم أوقفوا مواقعهم عن العمل احترازياً، بينما بدأ تداول تقارير عن محاولات هجوم أمس الأربعاء، بحسب صحيفة "وول ستريت جورنال".
ثغرة منسية لعقود
كما تنتمي الثغرة إلى فئة من المشكلات المرتبطة بطريقة إدارة PHP لذاكرة الحاسوب، ويمكن استغلالها بأساليب متعددة يستغرق بعضها ثوانيَ معدودة.
فيما وصف فولكر دوش، مهندس الأمن في المؤسسة غير الربحية التي تدير المشروع، المشكلة بأنها الأخطر التي تواجه PHP منذ أكثر من عقد، وشبّهها بثغرة هارتبليد التي دفعت العالم قبل أكثر من عشر سنوات إلى سباق لحماية مئات الآلاف من الخوادم.
وكان رايان أوستن، الباحث في شركة كاليف الأمنية، قد عثر على الخلل بمساعدة نموذج GPT-5.6 Sol من أوبن إيه آي خلال تدقيق للشفرة المصدرية لـPHP في أغسطس الماضي، وهو تدقيق موّلته أوبن إيه آي ضمن جهود شركات الذكاء الاصطناعي لمساعدة المشاريع مفتوحة المصدر على معالجة الثغرات. وظلت هذه الفئة من الأخطاء كامنة لسنوات، وسبق أن نبّه إليها باحث أمني قبل عقود، لكنها اعتُبرت شديدة الصعوبة في الاستغلال فأُهملت إلى حد كبير، بحسب تاي دونغ، الرئيس التنفيذي لكاليف.
كما تمكن أوستن من التحكم بالشفرة العاملة في الذاكرة عبر بضع عشرات من الطلبات إلى الخادم، إذ يستغرق الاختراق ثوانيَ في الأنظمة الأصغر وقد يمتد ساعات في الأكثر تعقيداً.
سباق مع الزمن
وفي 11 أوت، اتصل دونغ بدوش لإبلاغه بالأمر، لتتشكل سريعاً مجموعة عمل غير رسمية من باحثين أمنيين ومهندسي برمجيات تعاونت مع موزعي البرامج وشركات الأمن لابتكار حلول تسد الثغرة وتمنع استغلالها. وقال دوش إنه مرّ بلحظة صدمة تساءل فيها عما سيفعله، قبل أن يهدأ ويتجه إلى الإصلاح.
هذا وانضم إلى الجهود باحثون من فريق ويز للأمن السيبراني التابع لغوغل، قدموا أساليب اختراق جديدة توصلوا إليها بشكل مستقل عن كاليف، إضافة إلى نتائج من فريق الأبحاث في أوبن إيه آي.
ويمكّن الذكاء الاصطناعي باحثين حسني النية من كشف آلاف الثغرات، ما يثقل كاهل مشاريع مثل PHP بسيل من المشكلات المطلوب إصلاحها، غير أن PHP2Shell حظيت بأولوية قصوى لأن قدرة هذه الأدوات على الاختراق أثارت مخاوف من استغلال مجرمين لها في مواقع كثيرة قبل ترقيعها. ووصفها آمي لوتواك، المؤسس المشارك لشركة ويز، بأنها أخطر ثغرة اكتُشفت بالذكاء الاصطناعي حتى اليوم، ورجّح أنها كانت أعقد من أن تُكتشف من دونه.
تسريب يعجّل الإصلاح
إلى ذلك، حرص دونغ والباحثون على إبقاء الثغرة سراً أثناء العمل على الحلول، خشية أن يعثر عليها مخترق مدعوم بالذكاء الاصطناعي ويستغلها قبل اكتمال الإصلاح. وشمل الجهد نحو 200 ملف وأكثر من 10 آلاف سطر برمجي كتبها المطورون، وحُدد اليوم 22 أكتوبر موعداً لإصدار التحديث. غير أن أنباء التحديث تسربت الثلاثاء عبر منشور في موقع هاكر نيوز قبل الموعد بنحو يومين، فقرر فريق دوش تسريع الإصدار والتحذير من تحديث أمني حرج يصل الأربعاء، في خطوة وصفها بأنها توازن جيد لإبلاغ المدافعين دون منح المهاجمين وقتاً طويلاً لتطوير أدوات الاختراق.
ويشكّل إطلاق التحديثات عادةً بداية سباق بين المدافعين الذين يختبرون الإصلاحات ويثبتونها، والمخترقين الذين يدرسونها لمعرفة ما تغيّر فيها ثم يبتكرون طرق هجوم على تلك المناطق. ويرى خبراء أمن أن أدوات الذكاء الاصطناعي تنجز ذلك أسرع بكثير من البشر، ما قد يزيد المخاطر. وحذّر دونغ من أن أي شخص على منصة إكس قد يأخذ التحديثات ويشغّل عليها الذكاء الاصطناعي وينشر نصاً جاهزاً للاختراق، وعندها تعم الفوضى على حد وصفه.
