OpenAI: نموذج GPT‑5.6 Sol اكتشف ثغرة حرجة في PHP الذي يعمل عليه 70% من المواقع

أعلنت OpenAI أن نموذجها GPT‑5.6 Sol اكتشف خللًا حرجًا في PHP، إحدى أكثر لغات تطوير الخوادم انتشارًا. ووفق بيانات الشركة، يعمل PHP على نحو 70% من المواقع في العالم. وخلال الشهرين الماضيين، قادت OpenAI تحالفًا من المشرفين على المشروع والباحثين وموردي الأمن عمل على معالجة المشكلات الحرجة في اللغة. ونُشرت المدونة قبل ساعات قليلة، وتصف وسائل إعلام صينية، منها Jiqizhixin، الحادثة بالفعل بأنها من أكثر الثغرات تأثيرًا في تاريخ المشروع.

شهران من الصمت قبل النشر

جاء الإعلان الذي تناقلته الأخبار بعد تحضير طويل. فقبل شهرين، لم تبدأ القصة ببيان صحفي، بل بقناة اتصال مغلقة بين OpenAI والمسؤولين عن الشيفرة المصدرية لـ PHP. ويُعرف هذا الأسلوب بالإفصاح المنسّق: تُبلَّغ الجهات القائمة على المشروع بالثغرة بهدوء أولًا، ثم تُعدّ التصحيحات للفروع المدعومة، ويُحاط كبار مزودي الاستضافة والأمن علمًا، وبعد ذلك فقط يُعلَن الأمر للجمهور.

ولم تكتفِ OpenAI بتسليم تقرير، بل قادت تحالفًا، وهذا ما يميّز القصة عن بلاغات الأخطاء المعتادة. فقد تولّت الشركة دور المنظِّم، وهي مهمة تضطلع بها عادةً المشاريع نفسها أو مراكز CERT أو كبار الموردين مثل Google وMicrosoft.

لماذا PHP تحديدًا

ظهر PHP في منتصف التسعينيات، وما زال يشكّل أساس جزء ضخم من الويب: فقد بُنيت عليه WordPress وDrupal وMagento وLaravel ومواقع مؤسسية لا تُحصى. ولا يمسّ الخلل في اللغة نفسها أو في مكوناتها القياسية منتجًا واحدًا، بل السلسلة كلها: من النواة إلى الإضافات وصور الاستضافة والحاويات التي تبقى سنوات في بيئة الإنتاج دون تحديث.

ولهذا تبدو نسبة 70% هنا أهم من مجرد سطر في وصف ثغرة. فحتى لو تطلّب الاستغلال شروطًا معينة، يُقاس عدد الخوادم المتضررة المحتملة بالملايين. كما يتميز PHP بأن كثيرًا من التثبيتات تعمل على إصدارات قديمة لم تتلقَّ إصلاحات منذ زمن طويل.

النموذج بوصفه صائد أخطاء

حتى الآن، ارتبطت الأمثلة البارزة على اكتشاف الثغرات بمساعدة الذكاء الاصطناعي بمهام محدودة: فقد وجد Google Big Sleep خطأً في SQLite، وأصلحت فرق مشاركة في مسابقة DARPA AIxCC الشيفرة تلقائيًا. أما حالة GPT‑5.6 Sol فترفع السقف: فالأمر يتعلق بمشكلة حرجة في بيئة التشغيل الأساسية التي تراقبها آلاف الأعين، وباكتشاف استدعى عملية إصلاح متكاملة متعددة الأطراف.

وهذه إشارة للقطاع في اتجاهين معًا. فالمدافعون يحصلون من النماذج على فرصة لفحص المشاريع الناضجة بسرعة تفوق ما تستطيعه الفرق البشرية. لكن الأدوات نفسها متاحة للمهاجمين أيضًا، ما يعني أن الفترة الفاصلة بين نشر التصحيح وظهور الاستغلالات ستضيق.

أبرز معطيات القصة:

• النموذج: GPT‑5.6 Sol
• الهدف: PHP، لغة برمجة مفتوحة المصدر
• النطاق: نحو 70% من المواقع في العالم
• مدة التنسيق: نحو شهرين
• المشاركون: مشرفون على المشروع وباحثون وموردو أمن
• منظِّم التحالف: OpenAI

ماذا على الفرق التي تشغّل PHP في بيئة الإنتاج أن تفعل

أولًا، الجرد. يجب معرفة الإصدارات من PHP التي تعمل فعليًا على الخوادم وفي الحاويات وعند مزود الاستضافة، وخصوصًا في المشاريع المنسيّة وأنظمة إدارة المحتوى القديمة. ثانيًا، متابعة إصدارات الأمان الرسمية لـ PHP ونشرات التوزيعة التي تستخدمونها أو مزود الاستضافة. وعند صدور التصحيحات للفروع المدعومة، يُستحسن التحديث سريعًا، لأن المهاجمين يحصلون بعد نشر الإصلاح على إشارة إلى مكان البحث.

ثالثًا، السؤال موجّه إلى من لا يزال يعمل على إصدارات رُفع عنها الدعم. فقد لا تصدر لها إصلاحات أصلًا، لذا من الأفضل بدء خطة الانتقال إلى الفرع الحالي قبل ظهور أولى الاستغلالات لا بعدها. وأخيرًا، ينبغي التحقق من وجود مراقبة للنشاط غير المعتاد على خوادم الويب، ومن توافر WAF قادر على تفعيل التصحيحات الافتراضية بسرعة.

وثمة استنتاج استراتيجي لمن يبنون عمليات الأمن: تدقيق الشيفرة المفتوحة بالذكاء الاصطناعي بات أداة عمل. وقد حان وقت إجراء فحوص كهذه على تبعياتكم الخاصة، قبل أن يسبقكم إليها غيركم.