اوپن‌ای‌آی پس از کشف آسیب‌پذیری‌های PHP، چارچوبی پنج‌مرحله‌ای برای افشای امنیتی پیشنهاد کرد
کشف آسیب‌پذیری‌های PHP با کمک هوش مصنوعی، زمینه‌ساز تدوین چارچوبی تازه برای افشای امنیتی شد
یکی از مهم‌ترین نگرانی‌های امنیتی این هفته در فضای وب، به آزمونی عملی برای مدیریت آسیب‌پذیری‌ها در عصر هوش مصنوعی تبدیل شد. اوپن‌ای‌آی گزارشی از روند دوماهه رسیدگی به آسیب‌پذیری‌های PHP2Shell منتشر کرد؛ دو نقص بحرانی در PHP که ابزارهای هوش مصنوعی به شناسایی آن‌ها کمک کردند. این شرکت همچنین چارچوبی پنج‌مرحله‌ای برای مدیریت کشف آسیب‌پذیری‌های مشابه در نرم‌افزارهای پرکاربرد پیشنهاد داد. گزارش اوپن‌ای‌آی درباره افشای هماهنگ آسیب‌پذیری‌های بحرانی جزئیات این فرایند را شرح می‌دهد.
نکات کلیدی
- آسیب‌پذیری‌های CVE-2026-109618 و CVE-2026-109619 به مهاجمان امکان می‌دهند بدون ورود به سامانه، روی سرورهای PHP کد اجرا کنند. در واکنش احتیاطی به این خطر، دولت‌هایی از جمله دولت فنلاند برخی وب‌سایت‌ها را از دسترس خارج کردند.
- شرکت امنیتی Calif با کمک مدل GPT-5.6 Sol اوپن‌ای‌آی یکی از آسیب‌پذیری‌ها را کشف کرد. شرکت Wiz نیز به‌طور مستقل هر دو نقص را شناسایی کرد. اوپن‌ای‌آی می‌گوید این ابزارهای هوش مصنوعی پیش از مهاجمان به آسیب‌پذیری‌ها دست یافتند.
- اوپن‌ای‌آی هشدار می‌دهد که همین توانایی‌های هوش مصنوعی می‌توانند روند ساخت ابزارهای حمله را نیز سرعت ببخشند و انتظار دارد در ماه‌های آینده موارد مشابه بیشتری کشف شوند.
مروری بر آسیب‌پذیری‌ها
هر دو نقص بر اساس نسخه چهارم سامانه امتیازدهی آسیب‌پذیری‌های امنیتی (CVSS) امتیاز شدت ۹٫۲ دارند. این آسیب‌پذیری‌ها در بخش‌هایی از کد قرار دارند که تقریباً هر درخواست PHP با آن‌ها سروکار دارد: مدیریت حافظه و رسیدگی به خطاها.
آسیب‌پذیری CVE-2026-109618 زمانی فعال می‌شود که حافظه PHP در میانه پردازش یک درخواست تمام شود و سامانه بعداً داده‌ای را که ساخت آن نیمه‌تمام مانده است، کامل فرض کند. آسیب‌پذیری CVE-2026-109619 نیز به وضعیتی مربوط می‌شود که اطلاعات باقی‌مانده از وضعیت قبلی، پس از آزاد شدن حافظه‌ای که آن اطلاعات را نگه می‌داشته، همچنان مورد استفاده قرار می‌گیرد. این مشکل از نوع «استفاده پس از آزادسازی حافظه» (use-after-free) است.
تیم PHP در ۲۱ اکتبر اصلاحیه‌هایی برای نسخه‌های 8.5.12، 8.4.27، 8.3.36 و 8.2.35 منتشر کرد. برای شاخه‌های 8.1 و نسخه‌های قدیمی‌تر، انتشار رسمی جدیدی در نظر گرفته نشده است. تیم PHP اعلام کرده که به‌روزرسانی تنها راهکار ایمن برای رفع این مشکل است.
پژوهشگران شرکت Wiz اجرای کد از راه دور بدون احراز هویت را در سامانه‌های مبتنی بر WordPress، Drupal و Joomla به نمایش گذاشتند. آن‌ها همچنین نشان دادند که این آسیب‌پذیری‌ها می‌توانند اطلاعات حافظه سرور را افشا کنند؛ اطلاعاتی که ممکن است شامل گذرواژه‌ها و کلیدهای رابط برنامه‌نویسی کاربردی (API) باشد.
کشورهای اروپایی دسترسی به وب‌سایت‌ها را قطع کردند
چند دولت ترجیح دادند برای کاهش خطر، دسترسی به خدمات اینترنتی را موقتاً متوقف کنند. شرکت دولتی فناوری اطلاعات فنلاند، Valtori، خدمات عمومی وب دولت این کشور را به‌عنوان اقدامی احتیاطی از دسترس خارج کرد و اعلام کرد هیچ نشانه‌ای از نفوذ پیدا نکرده است.
هلند نیز درگاه‌هایی از جمله Overheid.nl، MijnOverheid.nl و DigiD را از دسترس خارج کرد. فرانسه وب‌سایت‌های استانداری‌های خود را در حالت تعمیر و نگهداری قرار داد و سرویس فناوری اطلاعات دولت فدرال آلمان نیز دسترسی به چند وب‌سایت را تعلیق کرد. بلژیک و دانمارک هم اقداماتی در این زمینه انجام دادند.
اختلال‌ها به مدارس، بیمارستان‌ها و سازمان‌های دیگر نیز گسترش یافت. چندین نهاد اعلام کردند که هنوز هیچ مورد بهره‌برداری موفق از این آسیب‌پذیری‌ها را تأیید نکرده‌اند؛ بااین‌حال، Cloudflare گزارش داد که پس از افشای زودهنگام جزئیات آسیب‌پذیری‌ها و پیش از انتشار رسمی اطلاعات، نشانه‌هایی از آغاز ترافیک حمله مشاهده کرده است.
هوش مصنوعی چگونه آسیب‌پذیری‌ها را کشف کرد؟
شرکت امنیتی Calif با استفاده از مدل GPT-5.6 Sol، در قالب ابتکار «Patch the Planet» اوپن‌ای‌آی، یک آسیب‌پذیری بحرانی را شناسایی کرد. شرکت Wiz که اکنون مالک آن گوگل است، نیز به‌طور مستقل هر دو نقص را کشف و گزارش کرد. این شرکت در بخشی از فرایند از مدل Gemini 4 Argon گوگل استفاده کرد.
گرگ براکمن، رئیس اوپن‌ای‌آی، گفت یکی از این آسیب‌پذیری‌ها به مدت ۱۴ سال در PHP وجود داشته است.
اوپن‌ای‌آی در گزارش خود نوشت: «با توجه به شدت این آسیب‌پذیری‌ها و گستردگی استفاده از PHP، این مورد را یکی از تأثیرگذارترین مسائل امنیتی در سال‌های اخیر می‌دانیم.» این شرکت در ادامه افزود که همین قابلیت‌ها «می‌توانند به مهاجمان نیز کمک کنند تا ابزارها و اکسپلویت‌های تهاجمی را به‌سرعت توسعه دهند.»
چارچوب پنج‌مرحله‌ای پیشنهادی اوپن‌ای‌آی
فرایند پیشنهادی اوپن‌ای‌آی با تأیید آسیب‌پذیری و رفع آن در کد اصلی پروژه آغاز می‌شود. در این مرحله، آزمایش‌های خصمانه با استفاده از مدل‌های پیشرفته هوش مصنوعی نیز انجام می‌گیرد تا مشخص شود آیا اصلاحیه در برابر تلاش‌های هدفمند برای دور زدن آن مقاوم است یا خیر. مرحله بعد، اختصاص زمان کافی به سازمان‌های تحت تأثیر برای آماده شدن است؛ برای مثال، توزیع‌کنندگان می‌توانند اصلاحیه‌ها را به نسخه‌های قدیمی‌تر منتقل کنند و شرکت‌های امنیتی نیز قواعد دیوار آتش را برای مقابله با تهدید به‌روزرسانی کنند.
در مرحله سوم، نهادهای دولتی وارد فرایند می‌شوند. اوپن‌ای‌آی می‌گوید در پرونده PHP با نیروی ویژه ابرهوش کاخ سفید، دفتر مدیر ملی امنیت سایبری و آژانس امنیت سایبری و زیرساخت آمریکا (CISA) همکاری کرده است. دو مرحله پایانی به آماده‌سازی به‌روزرسانی‌ها برای محصولات تحت تأثیر و انتشار راهنمای امنیتی پس از آماده شدن اصلاحیه اختصاص دارد.
اوپن‌ای‌آی همچنین متعهد شده است یک میلیارد دلار دسترسی یارانه‌ای به سرویس Daybreak را در اختیار مدافعانی قرار دهد که منابع مالی محدودی دارند. این شرکت ابزاری برای بررسی نسخه PHP را نیز در قالب یک مهارت Codex منتشر کرده و از جامعه امنیت سایبری خواسته است چارچوب پیشنهادی را نقد و ارزیابی کند.
رقابت میان کشف‌کنندگان آسیب‌پذیری و مهاجمان
PHP در حدود ۷۰ درصد از وب‌سایت‌هایی استفاده می‌شود که زبان سمت سرور آن‌ها قابل شناسایی است. بنابراین، هر نقصی در هسته این زبان می‌تواند دامنه گسترده‌ای از خدمات، از بانک‌ها و فروشگاه‌ها گرفته تا خدمات عمومی، را در معرض خطر قرار دهد. گستردگی واکنش‌ها، از وزارتخانه‌های هلند تا نهادهایی در بریتانیا، آمریکا و استرالیا که از مدیران سامانه‌ها خواسته‌اند اصلاحیه‌ها را نصب کنند یا خدمات را موقتاً از دسترس خارج سازند، نشان می‌دهد زیرساخت وب فرصت اندکی برای مقابله با چنین تهدیدهایی دارد. بنیاد PHP نیز از این فرصت استفاده کرد تا یادآور شود توسعه این زبان همچنان به گروه کوچکی از توسعه‌دهندگان دارای حمایت مالی و داوطلبان متکی است؛ نکته‌ای که در گزارش‌های مربوط به رقابت برای نصب اصلاحیه‌ها پیش از حمله مهاجمان مجهز به هوش مصنوعی نیز بازتاب یافته است.
این رویداد بخشی از روندی سریع و رو به گسترش است. انتشار اصلاحیه اضطراری تیم PHP، که جزئیات آن در گزارش مربوط به رفع آسیب‌پذیری‌های بحرانی PHP2Shell آمده، تنها چند روز پس از هشدار گوگل درباره حملات گسترده به یک آسیب‌پذیری روز صفر در BeyondTrust انجام شد. هم‌زمان، آزمایشگاه‌های هوش مصنوعی به استفاده از مدل‌های خود برای بررسی کدهای قدیمی ادامه می‌دهند؛ از جمله زمانی که شرکت Anthropic اعلام کرد مدل Claude منشأ بذرهای منحنی بیضوی NIST را ردیابی کرده است. اکنون مدافعان ابزارهای قدرتمندی برای کشف آسیب‌پذیری‌ها در اختیار دارند، اما مهاجمانی که قرار است با آن‌ها مقابله شود نیز ممکن است به همین توانایی‌ها دسترسی پیدا کنند.
نوشته علیوس نوریکا (Alius Noreika)