بحران امنیتی PHP؛ هوش مصنوعی اوپن‌ای‌آی و ویز آسیب‌پذیری‌های قدیمی اینترنت را آشکار کردند
آژانس امنیت ملی آمریکا (NSA) روز چهارشنبه با انتشار هشداری جدی اعلام کرد که دو آسیب‌پذیری بحرانی در زبان برنامه‌نویسی PHP شناسایی شده است. بنیاد PHP نیز پیش‌تر وصله‌های امنیتی این حفره‌ها را منتشر کرده بود.
PHP یک زبان برنامه‌نویسی سمت سرور است که به‌طور گسترده برای توسعه برنامه‌های وب استفاده می‌شود و بنا بر برآوردها، حدود ۷۰ درصد وب‌سایت‌های اینترنت از آن بهره می‌برند. برخی منابع شمار وب‌سایت‌های مبتنی بر این زبان را بیش از ۳۳ میلیون مورد اعلام کرده‌اند. سامانه‌های مدیریت محتوا پرطرفداری مانند وردپرس نیز از PHP استفاده می‌کنند.
آژانس امنیت ملی آمریکا هشدار داده است که این آسیب‌پذیری‌ها آن‌قدر جدی‌اند که اگر امکان نصب فوری وصله‌های امنیتی روی یک وب‌سایت وجود ندارد، باید آن سایت تا زمان رفع مشکل از دسترس خارج شود. این حفره‌ها به مهاجمان اجازه می‌دهند به فایل‌های موجود در سامانه فایل سرور یا پایگاه داده‌ای که برنامه وب از آن استفاده می‌کند، نفوذ کنند.
نکته قابل‌توجه این است که این آسیب‌پذیری‌ها از زمان انتشار PHP 5 در سال ۲۰۰۴، در تمام نسخه‌های این زبان وجود داشته‌اند. وب‌سایت‌هایی که از نسخه‌های نسبتاً جدید PHP استفاده نمی‌کنند، ممکن است به به‌روزرسانی‌های بیشتری نیاز داشته باشند؛ زیرا نسخه ۸.۱ و نسخه‌های قدیمی‌تر دیگر پشتیبانی نمی‌شوند. توصیه این است که نرم‌افزار سرور وب به نسخه فعلی PHP، یعنی نسخه ۸.۵.۱۲، ارتقا یابد.
اما چگونه دو نقص امنیتی فراگیر که دهه‌ها از وجودشان می‌گذرد و تقریباً تمام وب‌سایت‌های اینترنت را تحت تأثیر قرار می‌دهند، ناگهان کشف شدند؟ پاسخ، طبیعتاً، هوش مصنوعی است؛ به‌ویژه ابزارهای اوپن‌ای‌آی و شرکت ویز، زیرمجموعه گوگل.
شرکت کالیف (Calif)، فعال در حوزه آزمون امنیتی، در طرح «Patch the Planet» اوپن‌ای‌آی مشارکت داشت؛ طرحی که با هدف یافتن آسیب‌پذیری‌ها در نرم‌افزارهای متن‌باز اجرا می‌شود. این شرکت با استفاده از GPT‑5.6 Sol یکی از حفره‌ها را شناسایی کرد و اوپن‌ای‌آی نیز در نوشته‌ای در وبلاگ خود این کشف را اعلام کرد. در همین حال، تیم ویز نیز با کمک هوش مصنوعی، از جمله عامل هوش مصنوعی امنیتی Wiz Atlas و مدل‌های Gemini 4 Argon و GPT-5.6 Sol، چندین آسیب‌پذیری را در PHP شناسایی کرد.
اوپن‌ای‌آی و ویز هر دو اصول مسئولانه پژوهش امنیتی را رعایت کردند و پیش از افشای عمومی آسیب‌پذیری‌ها، برای آماده‌سازی وصله‌ها با تیم PHP همکاری کردند. سپس همه طرف‌ها برای بررسی دقیق‌تر یافته‌ها و آزمایش وصله‌های امنیتی با یکدیگر همکاری کردند و افراد و سازمان‌های دیگری را نیز به این تلاش مشترک افزودند.
ویز از شرکت‌های Automattic، Akamai، AWS، Cloudflare، Fastly، Imperva، Microsoft و Vercel بابت همکاری‌شان قدردانی کرد. وردپرس نیز، با وجود آنکه وب‌سایت‌های مبتنی بر این سامانه از PHP استفاده می‌کنند، اعلام کرده است که این آسیب‌پذیری مختص وردپرس نیست. بنابراین، وب‌سایت‌هایی که از سامانه مدیریت محتوای وردپرس استفاده می‌کنند نیز باید سرورهای خود را به‌روزرسانی کنند و برای اطمینان از ایمن بودن سایت‌هایشان با شرکت‌های میزبانی وب همکاری داشته باشند.
اوپن‌ای‌آی می‌گوید پژوهشگران پیش از آنکه هکرها این آسیب‌پذیری‌ها را کشف کنند، آن‌ها را شناسایی کرده بودند؛ بنابراین، گزارشی از سوءاستفاده عملی از این حفره‌ها در فضای واقعی منتشر نشده بود. بخشی از دلیل این موضوع آن است که پیش از ظهور هوش مصنوعی، بهره‌برداری از این آسیب‌پذیری‌ها برای هکرها بسیار دشوار بود. ویز در نوشته وبلاگی خود درباره این حفره‌ها هشدار داده است: «با هوش مصنوعی، این دیگر مانعی محسوب نمی‌شود. مدل‌های زبانی بزرگ می‌توانند به تطبیق یک اکسپلویت با نسخه‌های مختلف PHP، پیکربندی‌های گوناگون و چیدمان‌های متفاوت حافظه کمک کنند.»
به بیان دیگر، این نمونه‌ای از یک مشکل امنیتی است که هوش مصنوعی به شناسایی و پیشگیری از آن کمک کرده، اما در عین حال، همین فناوری باعث شده است خطر ناشی از آن افزایش یابد.
اکنون که آسیب‌پذیری‌ها به‌صورت عمومی اعلام شده‌اند، هکرها نیز از وجود آن‌ها آگاه‌اند. رقابت برای به‌روزرسانی ده‌ها میلیون وب‌سایت در سراسر اینترنت آغاز شده است؛ وب‌سایت‌هایی که باید پیش از آنکه مهاجمان بتوانند به نسخه‌های وصله‌نشده حمله کنند، ایمن شوند. به همین دلیل، آژانس امنیت ملی آمریکا توصیه کرده است اگر نمی‌توانید وب‌سایت مبتنی بر PHP خود را فوراً به‌روزرسانی کنید، بهتر است تا زمان رفع مشکل آن را از دسترس خارج کنید.