ثغرات أمنية حرجة في لغة بي إتش بي تسمح بتنفيذ الأكواد عن بُعد دون مصادقة

جاء اكتشاف هذه العيوب الخفية بعد مرور أكثر من عقد من الزمان دون أن يلاحظها أحد، وذلك بفضل جهود باحثين في شركتي ويز وكاليف للأمن السيبراني الذين استخدموا نماذج لغوية كبيرة متقدمة ووكلاء ذكاء اصطناعي مستقلين لإجراء مسح عميق للكود المصدري للغة. نجحت هذه التقنيات في ربط السياق بين ملايين الأسطر المكتوبة بلغة سي، وهي اللغة التي كُتب بها نواة بي إتش بي، للكشف عن أخطاء منطقية دقيقة وعيوب في معالجة الذاكرة كانت تنجح دائماً في الهروب من فحوصات العين البشرية وأدوات التحليل الثابت التقليدية.

على الرغم من ظهور بدائل حديثة مثل لغات بايثون وجو وروست، إلا أن لغة بي إتش بي تحافظ على هيمنتها الساحقة في عالم الويب، حيث تشير بيانات القياس عن بُعد الحالية إلى أن ما يقرب من سبعين في المئة من جميع مواقع الويب التي يمكن تحديد لغة برمجتها الخلفية تستخدم البنية التحتية لهذه اللغة. هذا الانتشار الواسع يعني أن ظهور ثغرة أمنية واحدة في النواة الأساسية للغة، وليس في الإضافات الخارجية أو القوالب، قد يترك ملايين الخوادم في جميع أنحاء العالم دون دفاع في آن واحد بسبب تأثير الدومينو.

يشير الخبراء إلى أن دخول الذكاء الاصطناعي إلى المعادلة يمثل سلاحاً ذا حدين في هذه المعركة الأمنية، فبينما ساعدت أدوات الذكاء الاصطناعي المدافعين في اكتشاف الثغرة، فإن المهاجمين السيبرانيين يستخدمون نفس النماذج لتحليل تفاصيل التصحيحات الأمنية عبر الهندسة العكسية وتوليد أكواد الاستغلال العاملة في غضون دقائق. لقد تقلصت الفترة الزمنية بين الإعلان عن الثغرة وبدء موجات الهجوم الآلي العالمية من أسابيع أو أشهر إلى دقائق معدودة، حيث تقوم مساعدات الذكاء الاصطناعي بتحليل الفروقات في أكواد التصحيح لتحديد السطر المسؤول عن الخلل بدقة متناهية.