أصدر مطورو PHP يوم 21 أكتوبر تحديثًا عاجلًا لثغرتين أمنيتين حرجتين في المحرك الأساسي للغة. الثغرتان المسماتان "PHP2Shell" وتحملان الرقمين CVE-2026-109618 وCVE-2026-109619 اكتُشفتا بمساعدة أدوات الذكاء الاصطناعي.
ماذا حدث؟
بحسب Fortune، عثرت شركة اختبار أمن الذكاء الاصطناعي Calif على الحلقة الأولى من السلسلة في 1 أغسطس باستخدام GPT-5.6 Sol؛ أما Wiz فرصدت الثغرة الأولى بصورة مستقلة في 19 أغسطس وأبلغت فريق أمن PHP بها في 24 أغسطس. واستُخدمت في الاكتشاف أداة Wiz الخاصة Wiz Atlas ونموذجا GPT-5.6 Sol من OpenAI وGemini 4 Argon من Google.
تتيح الثغرتان للمهاجم تنفيذ أكواد عن بُعد على الخادم دون تسجيل دخول وتسريب البيانات الموجودة في الذاكرة. وبحسب Wiz فإن تقريبًا كل إصدار من PHP صدر في العقد الأخير، وصولًا إلى 5.4، متأثر. وأعلى درجة خطورة هي 9.2 على مقياس CVSS. تعمل PHP خلف نحو 70 بالمئة من مواقع الويب في العالم، وWordPress وحده يدير نحو 40 بالمئة منها. وبحسب خبر Fortune المحدَّث بدأ استغلال الثغرتين على نطاق واسع بعد صدور التحديث.
لماذا يهم الأمر؟
هذا من أوضح الأمثلة على أن الذكاء الاصطناعي في البحث الأمني لم يعد مساعدًا فحسب، بل قد يكون الطرف الذي يقوم بالاكتشاف. لكن الأدوات نفسها في يد المهاجمين أيضًا، والمدة بين صدور التحديث وبدء الاستغلال تتقلص. على كل صاحب موقع يستخدم PHP أن يحدّث خادمه فورًا. وفي الصورة الأوسع، قد تظهر الأخطاء المخفية في الأكواد القديمة التي تعمل على الإنترنت منذ عقود بسرعة أكبر بكثير. وقد حكينا قصة أول برنامج تجوّل في الشبكة بنفسه في مقالنا عن Creeper.