هوش مصنوعی آسیب‌پذیری امنیتی ۱۰ سالهای را شناسایی کرد؛ وب‌سایت‌های دولتی اروپا یکی پس از دیگری از دسترس خارج شدند
این آسیب‌پذیری با کمک PHP شناسایی شد. PHP زیربنای حدود ۷۰ درصد وب‌سایت‌های جهان است، اما اکنون در معرض تهدید قرار گرفته است. آژانس امنیت ملی آمریکا (NSA) هشدار داده است که اگر امکان نصب وصله امنیتی وجود ندارد، سامانه باید از دسترس خارج شود. بنیاد PHP نیز اذعان کرده است که با وجود مشاهده نشانه‌های این مشکل از دو سال پیش، نتوانسته آن را برطرف کند.
شناسایی یک نقص امنیتی بحرانی در زبان برنامه‌نویسی PHP به کمک هوش مصنوعی، زیرساخت وب در سراسر جهان را با شوک مواجه کرده است. دولت‌های اروپایی برای پیشگیری از حملات احتمالی، وب‌سایت‌های عمومی خود را از دسترس خارج کرده‌اند. آژانس امنیت ملی آمریکا نیز توصیه کرده است در صورتی که وصله امنیتی فوراً قابل نصب نیست، سامانه تا زمان رفع آسیب‌پذیری آفلاین شود. تحلیلگران می‌گویند این رویداد نشان داده است که هم‌زمان با افزایش سرعت شناسایی نقص‌هایی که بیش از یک دهه پنهان مانده بودند، ابزارهای لازم برای بهره‌برداری از آن‌ها نیز با سرعت بیشتری توسعه می‌یابند.
هوش مصنوعی یک آسیب‌پذیری امنیتی ۱۰ ساله را شناسایی کرد
به گزارش رویترز و بلومبرگ در ۲۱ اکتبر به وقت محلی، توسعه‌دهندگان PHP به‌روزرسانی امنیتی اضطراری‌ای منتشر کردند که دو آسیب‌پذیری موسوم به «PHP2Shell» را برطرف می‌کند. شدت هر دو نقص در نسخه ۴.۰ سامانه امتیازدهی آسیب‌پذیری‌های رایج (CVSS) برابر با ۹.۲ از ۱۰ ارزیابی شده است؛ امتیازی که آن‌ها را در رده آسیب‌پذیری‌های بحرانی قرار می‌دهد.
این نقص‌ها از نوع اجرای کد از راه دور (RCE) هستند؛ به این معنا که مهاجم می‌تواند بدون ورود به سامانه یا احراز هویت، از راه دور کد دلخواه خود را روی سرور اجرا کند. علت آسیب‌پذیری، نقص در نحوه مدیریت وضعیت اتمام حافظه و پردازش خطاها در موتور PHP است. بر اساس داده‌های شرکت تحلیل فناوری وب W3Techs، حدود ۷۵ درصد وب‌سایت‌هایی که زبان برنامه‌نویسی سمت سرور آن‌ها مشخص شده است، از PHP استفاده می‌کنند. پلتفرم‌های بزرگی مانند WordPress، MediaWiki و Drupal نیز بر پایه این زبان ساخته شده‌اند.
هوش مصنوعی در کشف این نقص‌ها نقش داشته است. به گفته OpenAI، شرکت امنیتی Califf با استفاده از مدل «GPT-5.6 Sol» متعلق به OpenAI، یک آسیب‌پذیری بحرانی را شناسایی کرد. شرکت Wiz که زیرمجموعه گوگل است نیز به‌طور مستقل این دو نقص را کشف و گزارش کرد.
بر اساس سوابق بنیاد PHP، شرکت Califf در ۳۰ ژوئیه بررسی امنیتی کد PHP را آغاز کرد و در ۱۱ اوت وجود یک آسیب‌پذیری اجرای کد از راه دور را گزارش داد. OpenAI نیز همان روز، به‌طور جداگانه، علت ریشه‌ای مشابهی را گزارش کرد. شرکت Wiz اعلام کرد که از ترکیب مدل «Gemini 4 Argon» گوگل و GPT-5.6 Sol استفاده کرده است. به گفته این شرکت، یک پژوهشگر توانست کد حمله‌ای را که توسعه آن برای متخصصان ممکن بود چند ماه زمان ببرد، در حدود یک هفته آماده کند. OpenAI این رخداد را یکی از اثرگذارترین مشکلات امنیتی سالهای اخیر توصیف کرد و هشدار داد که توانایی هوش مصنوعی در کشف نقص‌ها می‌تواند برای ساخت سریع‌تر ابزارهای حمله نیز به کار گرفته شود.
افشای زودهنگام وصله امنیتی، دفاع را نیز با مشکل مواجه کرد
آنچه وضعیت را وخیم‌تر کرد، نحوه انتشار عمومی اطلاعات بود. تیم توسعه PHP در ابتدا قصد داشت وصله امنیتی را در ۲۲ اکتبر منتشر کند. اما پس از آنکه شماره شناسایی آسیب‌پذیری و برنامه زمانی افشای آن در ۲۰ اکتبر در یک انجمن اینترنتی فاش شد، زمان انتشار به ساعت ۱۴ روز ۲۱ اکتبر، برابر با ساعت ۲۳ به وقت هماهنگ جهانی (UTC)، تغییر یافت.
در همان شب، شرکت Califf که آسیب‌پذیری را کشف کرده بود، به‌اشتباه ویدئویی از اثبات مفهوم (PoC) را بارگذاری کرد که حمله به یک هدف واقعی را نشان می‌داد؛ این ویدئو بعداً حذف شد. بنیاد PHP توضیح داد که نسخه‌های منتشرشده و کپی‌شده ویدئو، به توسعه سریع‌تر کدهای حمله عمومی در روز بعد کمک کردند.
سپس شرکت امنیتی Chainguard در ساعت ۷:۴۱ صبح ۲۱ اکتبر به وقت هماهنگ جهانی، بیش از شش ساعت پیش از زمان رسمی انتشار، نسخه اصلاح‌شده PHP را منتشر کرد. این شرکت، مانند دیگر توزیع‌کنندگان، وصله را از قبل دریافت کرده بود. انتشار زودهنگام وصله می‌تواند به مهاجمان کمک کند تا با مقایسه کد پیش و پس از اصلاح، محل آسیب‌پذیری را شناسایی کنند. بنیاد PHP از اقدام Chainguard انتقاد کرد و گفت این شرکت تلاش چندین طرف را که طی هفته‌ها برای افشای هماهنگ آسیب‌پذیری همکاری کرده بودند، نادیده گرفته است.
دن لورِنک، مدیرعامل Chainguard، توضیح داد که پس از دریافت گزارش‌هایی از چند شرکت امنیتی مبنی بر آغاز حملات واقعی، تصمیم گرفته است نسخه اصلاح‌شده را زودتر منتشر کند. در مقابل، بنیاد PHP گفت در آن زمان هنوز نتوانسته بود وجود کد حمله عمومی و قابل اجرا را تأیید کند.
نقص‌های داخلی بنیاد PHP نیز آشکار شد. این بنیاد اعلام کرد که در جریان رسیدگی به نتایج یک ممیزی امنیتی خارجی در سال ۲۰۲۴، نشانه‌ای از یکی از این دو آسیب‌پذیری را شناسایی کرده بود. با این حال، به دلیل نرسیدن به توافق درباره روش اصلاح، کار برای چند ماه متوقف ماند. بنیاد این وضعیت را یک «شکست ساختاری» دانست و اعلام کرد که تصمیم‌گیری‌های مرتبط با امنیت را به رأی اکثریت واگذار کرده و مهندسان جدیدی را به کار گرفته است.
تعطیلی وب‌سایت‌های دولتی اروپا؛ ۱.۵ میلیون سرور همچنان در معرض خطرند
پیامدهای این آسیب‌پذیری به‌سرعت به بخش عمومی گسترش یافت. به گزارش رویترز، در هلند، مرکز ملی امنیت سایبری وب‌سایت خود را از دسترس خارج کرد. همچنین وب‌سایت بندر روتردام، درگاه‌های دولتی، پنج حزب سیاسی بزرگ و شماری از وب‌سایت‌های بیمارستانی متوقف شدند. نهادهای خدمات فناوری اطلاعات دولت فنلاند و شرکت‌های فناوری اطلاعات دولت‌های محلی دانمارک نیز خدمات خود را به حالت تعلیق درآوردند. در دانمارک، حتی پلتفرم‌های ملی ارتباطی مدارس هم تحت تأثیر قرار گرفتند.
وزارت کشور فرانسه نیز به‌طور موقت دسترسی به وب‌سایت‌های دفاتر استانی دولت و مدیریت‌های محلی را مسدود کرد. دولت‌های بلژیک و کانادا نیز برخی وب‌سایت‌های خود را از دسترس خارج کردند. نهادهای اداره‌کننده ویکی‌پدیا نیز تعدادی از سامانه‌های خود را تعطیل کردند و آرشیو اینترنتی هم برای مدتی از دسترس خارج شد. آژانس امنیت ملی آمریکا در پیامی در شبکه اجتماعی ایکس اعلام کرد: «اگر به‌روزرسانی فوری امکان‌پذیر نیست، توصیه می‌کنیم سامانه تا زمان انجام کامل اقدامات اصلاحی از دسترس خارج شود.»
با وجود انتشار وصله امنیتی، خطر همچنان پابرجاست. بر اساس داده‌های شرکت تحلیل اینترنتی Sensys، از حدود ۲.۶ میلیون سروری که استفاده آن‌ها از PHP تأیید شده است، نزدیک به ۱.۵ میلیون سرور از نسخه‌هایی استفاده می‌کنند که نسخه اصلاح‌شده‌ای برای آن‌ها ارائه نشده است. برای PHP نسخه ۸.۱ و قدیمی‌تر، پشتیبانی رسمی به پایان رسیده و وصله رسمی در دسترس نیست. تیم توسعه فقط کد اصلاحی حداقلی را برای نسخه‌های ۷.۴ تا ۸.۱ منتشر کرده است. شرکت Cloudflare نیز اعلام کرد که پس از مشاهده تلاش‌های اولیه برای حمله، همچنان در حال به‌روزرسانی قواعد دفاعی خود است.
آژانس اینترنت و امنیت کره جنوبی (KISA) تنها در شامگاه ۲۱ اکتبر توصیه‌ای برای نصب به‌روزرسانی امنیتی صادر کرد. تا صبح ۲۲ اکتبر، هنوز تأییدی درباره صدور دستور دولت برای بازرسی سامانه‌های نهادهای عمومی منتشر نشده بود.
OpenAI نیز در همان روز، روشی جدید برای همکاری میان شرکت‌ها در رسیدگی به آسیب‌پذیری‌هایی پیشنهاد کرد که هوش مصنوعی آن‌ها را کشف می‌کند. این شرکت همچنین از فعالان صنعت خواست درباره مدت‌زمان مهلت عمومی پیش از افشای آسیب‌پذیری‌ها و نحوه توزیع وصله‌های اضطراری نظر بدهند.