الذكاء الاصطناعي

OpenAI تكشف ثغرات حرجة في PHP تهدد 70% من مواقع الويب

نجح باحثون مدعومون بالذكاء الاصطناعي في تحويل ثغرة عمرها عامان إلى استغلال عملي خلال أسبوعين، محذرين من ضرورة تسريع الإجراءات الدفاعية.

رضوان عبدالهاديمحرر وكاتب تقني

نُشر: 22 أكتوبر 2026 · آخر تحديث: 22 أكتوبر 2026 · 4 دقائق قراءة

OpenAI تكشف ثغرات حرجة في PHP تهدد 70% من مواقع الويب — الصورة: Tom's Hardware

اكتشاف ثغرات حرجة في قلب الويب

أعلنت شركة OpenAI في بيان صحفي صدر في 21 أكتوبر، أن فريقاً من الباحثين ضمن مبادرتها الأمنية "Patch the Planet" نجح في تحديد ثغرات أمنية حرجة في لغة البرمجة PHP، التي تقدر بأنها تشغل نحو 70% من مواقع الويب العالمية. اعتمد الباحثون في عملهم على نموذج الذكاء الاصطناعي GPT-5.6 Sol، مما أتاح لهم تجاوز عقبات تقنية عجز المطورون البشر عن حلها لسنوات. وبعد تأكيد الاكتشاف، تنسّقّت الشركة مع تحالف يضم صيانة PHP ومزودي الأمن السيبراني والوكالات الحكومية لإصلاح هذه الثغرات خلال فترة تمتدت لشهرين، وهو ما أرجته الشركة إلى التعقيد التقني الكبير الذي تطلّبه التعديلات الجوهرية على محرك PHP. ويمكن الرجوع إلى Tom's Hardware للاطلاع على التفاصيل الأصلية للمصدر.

تحديثات عاجلة وإصدارات مستثناة

استجابةً للاكتشافات، أصدرت مؤسسة PHP (PHP Foundation) إصدارات مصححة تشمل PHP 8.2.35 و8.3.36 و8.4.27 و8.5.12. وتجدر الإشارة إلى أن الإصدارات الأقدم من PHP 8.1 لن تتلقى أي إصلاحات رسمية، مما يضع المستخدمين على هذه الإصدارات في وضع هش. وكان من المقرر إطلاق التحديثات المشتركة في 22 أكتوبر، لكن تم تقديم الموعد إلى 21 أكتوبر بعد تسريبات مبكرة حدثت في 20 أكتوبر أثارت جدلاً عاماً واسعاً. وتؤكد OpenAI أن جميع المواقع التي تعتمد على PHP يمكنها الآن الترقية بأمان إلى الإصدارات المحدثة لضمان حماية بياناتها.

آلية الاستغلال والتأثير الأمني

تتعلق الثغرتان، المسجلتان تحت المعرفين CVE-2026-109618 وCVE-2026-109619، بأخطاء في إدارة الذاكرة ومعالجة الأخطاء داخل محرك PHP. تحدث الثغرة الأولى عندما يستنفد PHP الذاكرة المخصصة أثناء معالجة طلب، مما قد يترك بيانات داخلية غير مكتملة يعاملها المحرك لاحقاً كصحيحة. أما الثانية فتتضمن خطأً قاتلاً يجعل PHP يشير إلى ذاكرة تم تحريرها بالفعل، مما يسمح للطلبات اللاحقة بالوصول إليها أو تدميرها. وقد أثبت الباحثون إمكانية استغلال هذه العيوب عن بُعد دون الحاجة إلى بيانات تسجيل دخول، مما يتيح تنفيذ أكواد خبيثة على الخوادم المتأثرة والسيطرة الكاملة على المواقع.

سرعة الذكاء الاصطناعي مقابل العجز البشري

تكشف الحادثة مفارقة تقنية لافتة؛ حيث عجز المطورون وفرق الأمن البشرية عن حل هذه الثغرات رغم معرفتهم بوجودها منذ عام 2024، بينما نجح الباحثون المدعومون بالذكاء الاصطناعي في تحويلها إلى استغلال عملي خلال أسبوعين فقط. وقد بدأ هذا العمل في 30 يوليو 2026، بطلب من مؤسسة PHP، من قبل شركة Calif الأمنية، حيث حدد الباحث Ryan A. الثغرة القابلة للاستغلال في 11 أغسطس، تبعه باحثو OpenAI في اليوم ذاته. كما حددت شركة Wiz الأمنية ثغرة إضافية بشكل مستقل. وتؤكد OpenAI أن هذه الحادثة تُعد من أكبر الاكتشافات الأمنية في عام 2026 نظراً لانتشار PHP الواسع.

مفهوم نافذة المدافع

تستغل OpenAI هذا الحدث لتسليط الضوء على مفهوم "نافذة المدافع" (Defender's Window)، وهو إطار زمني حرج وضييق يمكن فيه للمنظمات استخدام نماذج الذكاء الاصطناعي المتقدمة لاكتشاف الثغرات وإصلاحها وتعزيز دفاعاتها، قبل أن تصبح هذه القدرات الهجومية متاحة على نطاق واسع للمهاجمين. وتشير الشركة إلى أن الثغرات كانت قد كشفت أيضاً عن معلومات حساسة مخزنة في ذاكرة الخادم، مثل كلمات المرور ومفاتيح المصادقة. وتجادل OpenAI بأن التقنيات الثورية ستُستخدم حتماً من قبل جهات خبيثة، مما يجعل المسؤولية الجماعية للإجراء الاستباقي أمراً حتمياً، مستشهدةً بحالات سابقة مثل اختراق Hugging Face واكتشاف Claude Mythos لآلاف الثغرات في أنظمة التشغيل المتعددة.

تحذيرات وتوصيات للمدافعين

تؤكد OpenAI أن على المدافعين تعزيز دفاعاتهم بشكل استباقي قبل أن يبدأ الفاعلون الخبيثون في استغلال القدرات المتطرفة للذكاء الاصطناعي. وعلى الرغم من أن بعض المراقبين قد يجادلون بأن هذه الثغرات لم تكن قابلة للاستغلال فعلياً لولا وجود الذكاء الاصطناعي، مما يجعلها "ضارة" بشكل نسبي، إلا أن الشركة تشدد على أن التأخر في الإصلاح يعرض البنية التحتية للويب لمخاطر حقيقية. وتعتبر هذه الحادثة دليلاً عملياً على أن الاعتماد على الأدوات التقليدية وحدها لم يعد كافياً في مواجهة التهديدات السيبرانية الحديثة التي تتسارع وتيرتها بفضل التقنيات الذكية.