ثغرة PHP القديمة تهدد ملايين المواقع بذكاء اصطناعي جديد

ماذا لو كان موقعك الإلكتروني يعمل بلغة برمجة حُذِّر من خطر في داخلها قبل 22 عاماً، ثم بقي التحذير حبراً على ورق إلى أن جاء الذكاء الاصطناعي وأنجز في يومين ما عجز عنه البشر عقدين؟ هذا ما حدث مع لغة PHP التي تشغّل 70% من مواقع الويب في العالم. فقد نجح باحثون، بمساعدة نموذج ذكاء اصطناعي، في استغلال ثغرة معروفة منذ زمن بعيد، وصدر الإصلاح وأُعلنت التفاصيل يوم الأربعاء. لكن الخبراء يحذّرون من أن المهاجمين قد يستفيدون من الأدوات نفسها لاستغلال هذه الثغرة وغيرها بسرعة أكبر.

كيف بقيت الثغرة بلا حل 22 عاماً؟

في يوليو 2004 أرسل الباحث الأمني ستيفان إيسر (Stefan Esser) تحذيراً من خلل خطير في PHP. يمكن لهذا الخلل أن يتيح قراءة كلمات المرور أو سرقة قواعد البيانات أو الاستيلاء على موقع كامل. لكن التحذير تجاهله الجميع تقريباً لعقود.

كانت الثغرة معروفة بوصفها قابلة للاستغلال نظرياً، غير أن استغلالها عملياً عُدّ بالغ الصعوبة. وفي عام 2020 اكتشف باحث مشكلة مرتبطة بها، فأصدر القائمون على PHP إصلاحاً جزئياً. وفي 2024 ظهرت ثغرة مشابهة في اللغة، وتُركت دون إصلاح.

ماذا فعل الذكاء الاصطناعي بالضبط؟

اختبر باحثو شركة Calif المتخصصة في أمن الذكاء الاصطناعي نموذجاً ذكياً على PHP ضمن مبادرة Patch the Planet التابعة لـOpenAI. بدأ الاختبار في 30 يوليو، ولم يتوقع الباحثون التوصل إلى اكتشاف حرج. لكن في 1 أغسطس وجدت Calif طريقة لمهاجمة ثغرات PHP، وبعد أيام عثرت على استغلال ثانٍ ثم ثالث. وفي وقت لاحق من الشهر نفسه توصّل باحثو Wiz، وهي شركة أمنية مدعومة من Google ومشاركة بدورها في المبادرة، إلى استغلالات جديدة. ويمكن الاطّلاع على بحث Calif وتقييم Wiz للثغرة.

والمفاجئ أن النموذج المستخدم ليس نسخة خاصة محجوبة عن الجمهور. فقد قال الباحث في Calif ريان أوستن (Ryan Austin) إن الشركة استخدمت أدوات ذكاء اصطناعي متاحة للعموم.

ما الذي يجعل الثغرة معقّدة؟

تتعلق الثغرة بطريقة معالجة PHP للطلبات التي تُشغّل المواقع. إذا انهار الخادم بسبب نفاد الذاكرة، قد تبقى بيانات قديمة عالقة يمكن استغلالها لتسريب معلومات أو لتنفيذ شيفرة خبيثة. والصعوبة أن على المهاجم إحداث هذا الانهيار في لحظة محددة بدقة، كي يتجاوز حدود الأمان في PHP.

وقد ظهرت طريقتان للاستغلال:

• الأولى: تستفيد من عدم تطابق في طريقة قياس PHP للملفات المضغوطة والملفات بعد فكّ ترميزها. وبذلك تمرّ الملفات من الفحوص، ثم تفكّ نفسها وتسيطر على النظام.

• الثانية: تعتمد على بنى ملفات متداخلة بعمق شديد، تُثقل بنية الدلائل في PHP وتتسبب في فشل الذاكرة.

هل انتهى الخطر بعد الإصلاح؟

صدر الإصلاح يوم الأربعاء، وكشفت الشركات نتائجها علناً. ووصفت Wiz الثغرة بأنها من أشد الثغرات خطورة في تاريخ البرمجيات. لكن الإصلاح قد لا يعالج كل مشكلات PHP، فكثير من الإصدارات القديمة ما زال قيد الاستخدام.

Loading image...

والوقت ضاغط أيضاً. فقد أفادت Cloudflare بوقوع آلاف محاولات الاستغلال في الساعات التي سبقت الإعلان، بعد تسريب يبدو أنه حدث للثغرة. ونشرت CrowdStrike كذلك تدوينة عن حماية عملائها من ثغرات PHP.

أما توصية OpenAI في إفصاحها عن الإصلاح فهي كتابة شيفرة أكثر أماناً منذ البداية. والبديل الآخر، الانتقال بعيداً عن PHP، مكلف. فنقل تطبيق قائم يعني إعادة بنائه بالكامل، وليس الأمر كتغيير مزوّد البريد من Microsoft إلى Google.

لماذا يغيّر الذكاء الاصطناعي المعادلة؟

يقول فياس سيكار (Vyas Sekar)، أستاذ هندسة الحاسوب في جامعة كارنيغي ميلون: «طالما حذّرت صناعة الأمن من القيامة الأمنية القادمة، لأن الذكاء الاصطناعي قادر على فعل هذه الأمور بسرعة كبيرة جداً، وبشكل أفضل من البشر. قد تكون هذه أولى حالات كثيرة. إنه جرس إنذار».

ويبدو أن هذا الإنذار في محله، فثمة ثغرات شبيهة بثغرة PHP، بعضها معروف وكثير منها مجهول، لم تُكتشف أو تُستغل بعد. وقد سبق أن أوقفت شركة Anthropic في يونيو نشر نموذجها Mythos بسبب قدراته على كشف الثغرات، ووصفته الحكومة الأمريكية بأنه تهديد للأمن القومي.

يشرح نيك روجرز (Nick Rogers)، الرئيس التنفيذي لشركة Fieldwork AI، الفكرة بمصطلح «الأمن عبر الإنهاك»، أي الاعتماد على الوقت والجهد اللذين يتطلبهما الاستغلال. ويقول: «إن أخذ ثغرة نظرية وإثبات إمكان استغلالها عملٌ شاق وميكانيكي إلى حدٍّ بعيد». ثم يضيف: «يستطيع الذكاء الاصطناعي مواصلة المحاولة حتى يتوصل إلى الحل. لا تحتاج حتى إلى المحاولة. يمكنك أن تشرب قهوتك بينما يقوم بذلك».

ويرى آدم مايرز (Adam Meyers)، نائب رئيس قسم مواجهة الخصوم في CrowdStrike، أن الخطر يتجاوز اكتشاف الثغرات: «لا يحتاج الأشرار إلى اكتشاف الثغرة أولاً، فبإمكانهم تحويلها إلى سلاح بعد ذلك». لكنه يتحفّظ على حجم الأثر الفعلي: «ما زلنا ننتظر لنرى مقدار ما سيظهر من هذا في الواقع».

أما مادهو شاشانكا (Madhu Shashanka)، المؤسس المشارك لشركة Concentric AI، فيقول: «كل شيء ثغرة محتملة. وكل عملية تجارية هي عملية عالية المخاطر». ويتابع: «توجد ثغرات كثيرة لا تُستغل أبداً لأن استغلالها يتطلب جهداً. لقد جعل الذكاء الاصطناعي ذلك الجهد بلا معنى». وبهذا اتفق الباحثون على أن الذكاء الاصطناعي يخفض الحواجز أمام استغلال الثغرات المحتملة.

ماذا يعني ذلك للمؤسسات؟

تصوّر رسمة xkcd الشهيرة البنية التحتية الرقمية الحديثة برج جينغا (Jenga) ترتكز كله على قطعة رفيعة واحدة. وتحمل هذه القطعة وصف «كل البنية التحتية الرقمية الحديثة»، وتمثّل «مشروعاً يواصل شخص عشوائي في نبراسكا صيانته دون أي شكر منذ عام 2003». وهي صورة ساخرة، لكنها تقترب من وصف الإنترنت القائم على بنية هشة قليلة الصيانة. وPHP هي المحرك الذي يدير معظمه.

والدرس العملي أن الشركات التي تترك برمجياتها دون ترقيع، حتى لأيام قليلة، تعرّض نفسها لثغرات قابلة للاستغلال. وما دام الذكاء الاصطناعي يختصر المسافة بين الإعلان عن الثغرة وتحويلها إلى هجوم، فلن يبقى أمام المؤسسات التي تشغّل إصدارات قديمة من PHP متّسع من الوقت.