آنچه باید درباره آسیب‌پذیری امنیتی شناسایی‌شده با هوش مصنوعی و تأثیر آن بر بخش بزرگی از اینترنت بدانید
نویسنده: خبرگزاری آسوشیتدپرس
تاریخ انتشار: ۲۲ اکتبر ۲۰۲۶، ساعت ۲۰:۲۰ به وقت شرق آمریکا
زبانی که از آن به‌عنوان یکی از ستون‌های اصلی اینترنت یاد می‌شود، اکنون با آسیب‌پذیری‌هایی روبه‌رو شده که کارشناسان آن‌ها را از مهم‌ترین ضعف‌های امنیتی سال‌های اخیر توصیف می‌کنند.
PHP یک زبان اسکریپت‌نویسی همه‌منظوره و پرکاربرد است که عمدتاً برای توسعه وب استفاده می‌شود و بخش عمده‌ای از وب‌سایت‌های جهان بر پایه آن کار می‌کنند. روز چهارشنبه، نهاد مسئول توسعه این زبان و بخش سایبری پلیس فدرال آمریکا (FBI) درباره آسیب‌پذیری‌های امنیتی مهم در PHP هشدار دادند؛ هشداری که سازمان‌های دولتی، شرکت‌ها و دیگر نهادها را برای مقابله با تهدید احتمالی به تکاپو انداخت.
این اتفاق همچنین نشان می‌دهد که هوش مصنوعی چگونه در حال تغییر شیوه‌های تأمین امنیت وب است.
در ادامه، ابعاد این آسیب‌پذیری‌ها، چگونگی شناسایی آن‌ها و پیامدهای احتمالی این کشف را بررسی می‌کنیم.
آسیب‌پذیری‌هایی که وب‌سایت‌ها را در معرض تهدیدهای امنیتی متعدد قرار می‌دهند
وب‌سایت رسمی PHP و چندین سازمان و نهاد دیگر روز چهارشنبه هشدارهای امنیتی منتشر کردند و از کاربران این زبان خواستند دو آسیب‌پذیری بحرانی را با نصب اصلاحیه‌های امنیتی برطرف کنند. در این هشدارها تأکید شده بود که اگر به‌روزرسانی فوری امکان‌پذیر نیست، وب‌سایت‌های آسیب‌پذیر باید تا زمان رفع مشکل از دسترس خارج شوند.
بنیاد PHP که برای ارتقای شفافیت و پاسخ‌گویی در توسعه این زبان فعالیت می‌کند، اعلام کرد مهاجمان می‌توانند از این ضعف‌های امنیتی سوءاستفاده کنند و بدون نیاز به احراز هویت، به وب‌سایت‌هایی که با PHP کار می‌کنند دسترسی پیدا کنند.
جیمز سالیوان، مدیر بخش سایبری و فناوری در مؤسسه سلطنتی خدمات متحد در لندن، توضیح داد که چنین ضعفی می‌تواند به مهاجمان امکان دهد بدون داشتن رمز عبور، کنترل یک سرور وب را از راه دور به دست بگیرند. به گفته او، هکرها در این شرایط ممکن است اطلاعات را سرقت کنند، داده‌ها را تغییر دهند یا از سامانه نفوذشده به‌عنوان پایگاهی برای اجرای حملات دیگر استفاده کنند.
دامنه گسترده تهدید؛ برخی وب‌سایت‌ها همچنان از دسترس خارج‌اند
حدود ۷۰ درصد وب‌سایت‌های جهان از PHP استفاده می‌کنند؛ بنابراین شمار وب‌سایت‌هایی که ممکن است در معرض این آسیب‌پذیری‌ها قرار گرفته باشند، بسیار زیاد است.
رایگان و متن‌باز بودن PHP از دلایل اصلی رواج گسترده آن در اینترنت است. این زبان در زیرساخت سامانه‌های مدیریت محتوایی مانند وردپرس و دروپال به کار می‌رود که بسیاری از نهادهای دولتی برای راه‌اندازی وب‌سایت‌های خود از آن‌ها استفاده می‌کنند. مدیاویکی، نرم‌افزاری که ویکی‌پدیا بر پایه آن کار می‌کند، نیز از PHP بهره می‌برد.
در پی هشدارهای امنیتی منتشرشده در این هفته، شماری از وب‌سایت‌ها برای جلوگیری از سوءاستفاده احتمالی، تا زمان برطرف شدن مشکل به‌طور موقت از دسترس خارج شدند. این وضعیت باعث اختلال در برخی خدمات و وب‌سایت‌های دولتی، از جمله در بریتانیا، فنلاند و ژاپن شده است.
ممکن است بعضی از وب‌سایت‌ها همچنان غیرفعال باشند، زیرا برای انواع مختلف نرم‌افزارها اصلاحیه‌های امنیتی متفاوتی ارائه می‌شود و برخی سازمان‌ها هنوز منتظر دریافت اصلاحیه مناسب هستند. افزون بر این، اصلاحیه‌ها باید پیش از استفاده آزمایش شوند تا از عملکرد صحیح آن‌ها اطمینان حاصل شود.
شارل فان در والت، رئیس بخش تحقیقات امنیتی شرکت اورنج سایبردیفنس، معتقد است واکنش‌های کنونی به این آسیب‌پذیری‌ها تنها «لرزش‌های اولیه» اختلالاتی است که احتمال دارد در هفته‌ها و ماه‌های آینده رخ دهد. به گفته او، احتمالاً با آغاز جست‌وجوی گسترده مهاجمان در اینترنت برای یافتن سامانه‌های آسیب‌پذیر، اختلالات بیشتری در خدمات ایجاد خواهد شد.
مشکلاتی که ممکن است مدت‌ها پنهان مانده باشند
به گفته بنیاد PHP، وجود این آسیب‌پذیری‌ها دست‌کم از سال ۲۰۲۴ مشخص بوده است. تیم امنیتی چندین راهکار متفاوت برای رفع آن‌ها طراحی کرده بود، اما هرکدام محدودیت‌ها و نقاط ضعفی داشتند. از آنجا که در آن زمان ظاهراً روش عملی و مشخصی برای سوءاستفاده مهاجمان از این آسیب‌پذیری‌ها وجود نداشت، روند یافتن و اجرای راه‌حل متوقف شد.
این بنیاد مسئولیت تأخیر در ارائه اصلاحیه امنیتی را پذیرفت و اعلام کرد: «نمی‌خواهیم واقعیت را طور دیگری جلوه دهیم؛ این تأخیر نتیجه یک ناکامی ساختاری بود که هم از فرایند تصمیم‌گیری تیم امنیتی و هم از کمبود منابع آن ناشی می‌شد.»
برخی کارشناسان معتقدند ممکن است این آسیب‌پذیری‌ها حتی پیش از سال ۲۰۲۴ شناسایی شده باشند.
رقابت مداوم مهاجمان و مدافعان در عصر هوش مصنوعی
اگرچه این آسیب‌پذیری‌ها نخستین بار به دست انسان‌ها شناسایی شدند، عامل‌های هوش مصنوعی در مشخص کردن روش‌های سوءاستفاده از آن‌ها نقش داشتند و به آزمایش و تأیید اثربخشی اصلاحیه‌های امنیتی نیز کمک کردند. شرکت اوپن‌ای‌آی در مطلبی در وبلاگ خود اعلام کرد که طی دو ماه گذشته، هدایت ائتلافی متشکل از پژوهشگران، شرکت‌های ارائه‌دهنده خدمات امنیتی و دیگر متخصصان را برای رسیدگی به آسیب‌پذیری‌های PHP بر عهده داشته است. پژوهشگران شرکت ویز (Wiz)، فعال در حوزه امنیت رایانش ابری، نیز اعلام کردند که به‌طور مستقل از هوش مصنوعی برای شناسایی این آسیب‌پذیری‌ها استفاده کرده‌اند.
دسترسی گسترده‌تر به هوش مصنوعی باعث شده است بسیاری از سازمان‌های کوچک و بزرگ بتوانند با ابزارهای پیشرفته‌تری، هم پیش از وقوع تهدیدهای امنیتی برای مقابله با آن‌ها آماده شوند و هم پس از شناسایی تهدید واکنش نشان دهند. بااین‌حال، همین فناوری به مهاجمان نیز امکان می‌دهد با سرعت و در مقیاسی بسیار بزرگ‌تر، از نقاط ضعف سامانه‌های دیجیتال سوءاستفاده کنند.
فان در والت در توضیح دشواری کار مدافعان گفت: «کار برای مدافعان به‌اندازه مهاجمان آسان نیست. شما یک آسیب‌پذیری را در بخشی از سامانه پیدا می‌کنید و آن بخش را جایگزین می‌کنید. اما با چه چیزی؟ آیا جایگزینی وجود دارد که اصلاحیه امنیتی لازم را دریافت کرده باشد، مقاوم باشد، آزمایش شده باشد و تأییدیه لازم را داشته باشد؟»
سالیوان، از مؤسسه سلطنتی خدمات متحد در لندن، گفت اگرچه این کشمکش دائمی میان مهاجمان و مدافعان می‌تواند نگران‌کننده باشد، او ترجیح می‌دهد بر جنبه مثبت ماجرا تمرکز کند.
او گفت: «در واقع، اینجا شاهد نمونه نسبتاً موفقی از کاربرد هوش مصنوعی بوده‌ایم؛ جایی که این فناوری می‌تواند برخی آسیب‌پذیری‌های بحرانی را شناسایی کند و سپس جامعه متخصصان با همکاری یکدیگر برای برطرف کردن آن‌ها وارد عمل شود.»