نماذج ذكاء اصطناعي متقدمة ساعدت في كشف ثغرات «PHP2Shell» في نواة PHP، وOpenAI تقترح خطة إفصاح من خمس مراحل
أصدر مشروع PHP في 21 أكتوبر إصلاحات لأخطاء في أمان الذاكرة تقول Wiz إنها تتيح تنفيذ شيفرة عن بُعد دون مصادقة، بدرجة خطورة تصل إلى CVSS 9.2. وتقول Wiz وOpenAI إن نماذج الذكاء الاصطناعي كانت حاسمة في اكتشافها واستغلالها.
في 21 أكتوبر 2026 أصدر مشروع PHP نسخاً مصحَّحة تعالج ثغرات في أمان الذاكرة داخل المحرك الأساسي للغة، وكشفت عنها Wiz Research علناً باسم PHP2Shell.
الثغرات
- جُمعت المشكلات تحت معرّفي CVE اثنين بدرجة خطورة تصل إلى CVSS 9.2. وبحسب Wiz، تتيح تنفيذ شيفرة عن بُعد دون مصادقة وقراءة ذاكرة الخادم التي قد تحوي كلمات مرور ورموز وصول ومفاتيح API.
- تقول Wiz إن كل إصدارات PHP منذ 5.4 متأثرة بثغرة واحدة على الأقل. وقد عرضت هجمات فعّالة على WordPress وDrupal وJoomla، لكنها تؤكد أن الخلل في PHP نفسها لا في تلك التطبيقات. وتقدّر Wiz أن PHP تشغّل نحو 70% من المواقع.
- الحل الكامل الوحيد هو تحديث PHP. وأعدّ مزودو الحوسبة السحابية وشبكات توصيل المحتوى إجراءات تخفيف مؤقتة لمن لا يستطيع التحديث فوراً.
دور الذكاء الاصطناعي
تقول Wiz إنها استخدمت أداتها Wiz Atlas إلى جانب Gemini 4 Argon وGPT-5.6 Sol، وإن النماذج جعلت ربط الثغرات في استغلالات عاملة ممكناً خلال ساعات، وهو عمل وصفته بأنه «على حافة ما يمكن للباحثين البشر تحقيقه عملياً». وبشكل منفصل، اكتشف باحث في شركة Calif إحدى الثغرات باستخدام GPT-5.6 Sol ضمن برنامج Patch the Planet التابع لـOpenAI.
خطة OpenAI
استغلت OpenAI الحالة لاقتراح عملية من خمس مراحل للثغرات التي يكتشفها الذكاء الاصطناعي وتمس منتجات كثيرة دفعة واحدة: التأكيد والإصلاح (بما في ذلك توجيه نماذج متقدمة لفحص التصحيح بحثاً عن طرق للالتفاف عليه)، ومنح الموزعين ومزودي الاستضافة مهلة مسبقة، وإشراك جهات الاستجابة الحكومية، وتوسيع الدائرة، ثم نشر الإرشادات. وفي حالة PHP، بحسب Help Net Security، شارك مكتب المدير الوطني للأمن السيبراني الأمريكي وCISA. وتتوقع OpenAI أن «تزداد مثل هذه الاكتشافات بشدة في الأشهر المقبلة»، وتطلب آراء مجتمع الأمن.