مدل‌های هوش مصنوعی باگ امنیتی را که اوپن‌اِی‌آی آن را «یکی از اثرگذارترین اشکالات سال‌های اخیر» می‌خواند، در کد پی‌اچ‌پیِ پنهان‌شده طی بیش از یک دهه آشکار کردند؛ از ردیاب خواب پوکمون تا وب‌سایت پارلمان هلند، سایت‌ها برای پیشگیری از حمله هکرها در سراسر جهان از دسترس خارج شدند.
هوش مصنوعی دو نقص مهم امنیتی در پی‌اچ‌پی، زبان برنامه‌نویسی‌ای که بی‌سروصدا بخش بزرگی از اینترنت را می‌گرداند، برملا کرده و باعث شده سازمان‌ها در سراسر جهان برای از دسترس خارج کردن وب‌سایت‌ها پیش از آن که هکرها بتوانند از این حفره‌ها سوءاستفاده کنند، دست به کار شوند.
آگهی
آگهی
این باگ‌ها بیش از یک دهه در کد پی‌اچ‌پی بدون آن که کسی متوجه شود باقی مانده بود. استفاده از مدل‌های پیشرفته هوش مصنوعی شرکت‌های اوپن‌ای‌آی و گوگل لازم بود تا یک ضعف قدیمی و مشکوک را به یک حمله عملی تبدیل کند و اکنون مسابقه برای بستن این در آغاز شده‌است.
در حالی که توانایی‌های به‌سرعت در حال پیشرفت هوش مصنوعی نگرانی‌ها از عصر تازه‌ای از حملات سایبری را دامن می‌زند، آنچه باید بدانید در ادامه آمده‌است.
واکنش اروپا
هلند سامانه هویت دیجیتال DigiD، درگاه دولتی Overheid.nl و وب‌سایت مجلس نمایندگان را از دسترس خارج کرد و سپس بندر روتردام، بیمارستان‌ها و پنج حزب بزرگ سیاسی کشور نیز همین مسیر را در پیش گرفتند.
حتی مرکز ملی امنیت سایبری هلند نیز وب‌سایت خود را پایین کشید.
ارائه‌دهنده دولتی خدمات فناوری اطلاعات فنلاند، والتوری، همه خدمات وب دولتی را «به عنوان اقدام پیشگیرانه» خاموش کرد، وزارت کشور فرانسه وب‌سایت‌های مدیریت‌های محلی را در وضعیت تعمیر و نگهداری قرار داد و سرویس فدرال آی‌تی آلمان، ITZBund، چندین پرتال را از دسترس خارج کرد.
نهاد CERT-EU، سرویس امنیت سایبری نهادهای اتحادیه اروپا، از بیشتر کشورها پا را فراتر گذاشت و به هر سازمانی که نمی‌تواند فورا وصله را نصب کند توصیه کرد وب‌سایت‌های خود را موقتا آفلاین کند تا خطر هک شدن را نپذیرد.
کمیسیون اروپا، آژانس امنیت سایبری اتحادیه اروپا (ENISA)، CERT-EU، یوروپل و شبکه ملی تیم‌های پاسخ سایبری اتحادیه اروپا نیز با بیانیه‌ای مشترک از سازمان‌ها خواستند فورا اقدام کنند و سیستم‌هایی را که مستقیما در معرض اینترنت است در اولویت قرار دهند.
پی‌اچ‌پی چیست و چرا مهم است؟
پی‌اچ‌پی که اوایل دهه ۱۹۹۰ ایجاد شد و نام آن در ابتدا مخفف «Personal Home Page» بود، به گفته شرکت امنیتی Wiz Research کدی است که در پشت صحنه حدود هفت وب‌سایت از هر ۱۰ وب‌سایت اجرا می‌شود؛ این شرکت پی‌اچ‌پی را «ستون فقرات وب» می‌نامد.
در حالی که زبان‌هایی مانند HTML مسئول آن چیزی است که روی صفحه می‌بینید، پی‌اچ‌پی کارهایی را انجام می‌دهد که دیده نمی‌شود، مانند بررسی ورود کاربران، پردازش پرداخت‌ها و ارائه محتوا.
این زبان زیرساخت سیستم‌هایی مانند WordPress، Drupal و Joomla را تشکیل می‌دهد؛ پلتفرم‌هایی که از وبلاگ‌های شخصی گرفته تا فروشگاه‌های آنلاین و پرتال‌های دولتی بر پایه آن‌ها بنا شده‌اند.
همین گستره استفاده است که دو باگ را به رویدادی جهانی تبدیل می‌کند. شرکت ویز اعلام کرد همه نسخه‌های پی‌اچ‌پی که در دهه گذشته منتشر شده‌اند دست‌کم به یکی از این دو نقص دچارند و حتی یک صفحه بسیار ساده «Hello World» روی سرور به‌روزرسانی‌نشده نیز می‌تواند آسیب‌پذیر باشد.
چهارشنبه وصله‌ای منتشر شد و بنیاد پی‌اچ‌پی به واحدهای فناوری در سراسر جهان هشدار داد: «اگر از پی‌اچ‌پی استفاده می‌کنید، ضروری است همین حالا آن را به‌روزرسانی کنید.»
نسخه‌های وصله‌شده عبارت‌اند از PHP 8.5.12، 8.4.27، 8.3.36 و 8.2.35. تیم واکنش اضطراری امنیت سایبری اتحادیه اروپا (CERT-EU) در هشدار خود تاکید کرد نسخه‌های قدیمی‌تر دیگر به‌روزرسانی رسمی دریافت نمی‌کنند و مگر آن که فروشنده وصله را به آن‌ها منتقل کرده باشد باید آن‌ها را در معرض خطر دانست.
نتیجه، موجی از خاموش شدن اپلیکیشن‌ها و وب‌سایت‌ها بوده‌است؛ از وب‌سایت پلیس پاریس گرفته تا یک ردیاب خواب بازی پوکمون، زیرا توسعه‌دهندگان در حال وصله کردن کدهای زیرین سیستم‌های خود هستند. وب‌سایت‌های دولتی در سراسر اروپا نیز از جمله سایت‌هایی بودند که به عنوان اقدام احتیاطی آفلاین شدند.
هوش مصنوعی چگونه این نقص‌ها را پیدا کرد؟
هر دو آسیب‌پذیری که با شناسه‌های CVE-2026-109618 و CVE-2026-109619 رصد می‌شوند و امتیاز ۹٫۲ از ۱۰ از نظر شدت گرفته‌اند، در بخش‌هایی از پی‌اچ‌پی قرار دارند که تقریبا هر درخواست وب از آن‌ها عبور می‌کند؛ یعنی مدیریت حافظه و رسیدگی به خطاها.
اگر یک درخواست وب درست در لحظه‌ای نامناسب به سقف حافظه تعیین‌شده برای پی‌اچ‌پی برسد، می‌توان نرم‌افزار را فریب داد تا بدون هیچ ورود یا احراز هویتی، کد مهاجم را اجرا کند.
بنیاد پی‌اچ‌پی اذعان کرده‌است که توسعه‌دهندگان خود این پروژه نخستین نشانه‌های مشکل را در سال ۲۰۲۴ و در جریان یک حسابرسی خارجی مشاهده کردند.
یک سناریوی نظری برای بهره‌برداری ترسیم شد، اما چون مسیر عملی روشنی برای حمله وجود نداشت و تیم هسته‌ای کوچک پروژه مشغول سبک‌سنگین کردن تبعات احتمالی هرگونه اصلاح بود، کار روی این موضوع برای ماه‌ها متوقف و دوباره از سر گرفته شد. این بنیاد این تاخیر را «شکست ساختاری» توصیف کرده‌است.
سپس پای هوش مصنوعی به میان آمد. در ماه اوت شرکت امنیتی Calif که در قالب حسابرسی کد منبع پی‌اچ‌پی با بودجه اوپن‌ای‌آی و با استفاده از مدل GPT-5.6 Sol کار می‌کرد، گزارشی از یک حمله راه‌دور کاملا عملی با همان ریشه مشکل ارائه کرد.
شرکت اوپن‌ای‌آی همان روز به طور مستقل همین نقص را پرچم‌گذاری کرد. دو هفته بعد، شرکت ویز نیز با استفاده از ابزار اختصاصی خود با نام Wiz Atlas به همراه مدل Gemini 4 Argon گوگل و GPT-5.6 Sol، مسیرهای حمله بیشتری را شناسایی کرد.
پژوهشگران ویز نوشتند: «با مدل‌های پیشروی هوش مصنوعی و ابزارهای مناسب، یک پژوهشگر توانست در یک هفته کاری را انجام دهد که پیش‌تر به یک تیم طراز اول جهانی چندین ماه زمان نیاز داشت.»
شرکت اوپن‌ای‌آی این کشف را «یکی از اثرگذارترین آسیب‌پذیری‌های سال‌های اخیر» خواند و افزود: «این نقطه عطفی تازه است؛ مرحله‌ای که در آن هوش مصنوعی می‌تواند حفره‌های امنیتی با اثر در مقیاس اینترنت را پیدا کند.»
این یافته‌ها در حالی که وصله در دست توسعه بود، محرمانه نگه داشته شد.
اما عصر سه‌شنبه دو شناسه CVE به بیرون درز کرد و در انجمن‌های آنلاین و شبکه‌های اجتماعی دست به دست شد.
به گفته بنیاد پی‌اچ‌پی، این پروژه انتشار وصله خود را یک روز جلو انداخت و شرکت Calif نیز به اشتباه ویدیویی از اثبات مفهومی حمله علیه چند هدف منتشر کرد که بعدا حذف شد، اما نسخه‌های آن به سرعت در اینترنت پخش شد.
استیو کریسون، استاد ارشد امنیت سایبری در پردیس سنگاپور دانشگاه جیمز کوک، به خبرگزاری فرانسه گفت: «مشکل ابزارهایی مانند هوش مصنوعی این است که به محض آن که همه اطلاعات در دسترس قرار گیرد، مردم می‌توانند خیلی خیلی سریع آن را به سلاح تبدیل کنند.»
او افزود: «به همین دلیل است که همه با چنین فوریتی تلاش می‌کنند به این موضوع پاسخ دهند.»
آیا سایت‌ها از همین حالا هک شده‌اند؟
لزومی ندارد. دیمیتریوس سالامپاسیس از دانشگاه فناوری سوینبرن استرالیا می‌گوید: «آفلاین کردن وب‌سایت‌ها لزوما به این معنی نیست که آن‌ها هک شده‌اند، این می‌تواند اقدامی مسئولانه برای حفاظت از سیستم‌ها در زمان اجرای به‌روزرسانی‌های امنیتی باشد.»
بنیاد پی‌اچ‌پی اعلام کرد تیم امنیتی‌اش کد اثبات مفهومی را که پس از این افشا در گردش بود بررسی کرده و در زمان انتشار وصله هیچ بهره‌برداری عملی در آن نیافته‌است.
کریسون می‌گوید: «شواهدی که پژوهشگران امنیتی مشاهده می‌کنند نشان می‌دهد هیچ کس به طور فعال با استفاده از تکنیک‌های موجود دست به حمله نزده است.»
با این حال، تصویر در حال تغییر است. شرکت زیرساخت وب Cloudflare روز چهارشنبه اعلام کرد ترافیک حمله‌ای را مشاهده کرده که مشتریانش را هدف گرفته‌است و CERT-EU هشدار داد انتشار عمومی جزئیات فنی احتمال آن را افزایش می‌دهد که مهاجمان از همین حالا در حال کاوش این حفره‌ها باشند.
نهادهای بزرگ‌تر، از سازمان‌های دولتی گرفته تا رسانه‌ها، باید بتوانند نسبتا سریع وصله‌ها را نصب کنند، اما دیگران ممکن است برای مدت بسیار طولانی‌تری در معرض خطر باقی بمانند.
کریسون هشدار داد: «سایت‌ها، سیستم‌ها و افرادی وجود دارند که هیچ اطلاعی از این موضوع ندارند و تا روزها، هفته‌ها و ماه‌های آینده هم نخواهند داشت.»
این وضعیت می‌تواند شامل وبلاگ‌های شخصی و وب‌سایت‌های کسب‌وکارهای کوچک باشد که هکرها قادرند آن‌ها را برای انتشار ویروس‌های کامپیوتری، ارسال اسپم یا میزبانی محتوای مخرب به کنترل خود درآورند.
آیا پیامدهای دیگری هم دارد؟
هر نقض داده‌ای می‌تواند مدت‌ها پس از نصب وصله هم کاربران را آزار دهد، اگر اطلاعات شخصی آن‌ها برای حملات فیشینگ جمع‌آوری شده باشد؛ حمله‌هایی که در آن فرد فریب می‌خورد و گذرواژه یا اطلاعات پرداخت خود را در اختیار مهاجم می‌گذارد.
ماهیت درهم‌تنیده و به هم پیوسته سامانه‌های آنلاین همچنین به این معنی است که خطر با به‌روزرسانی سرور خودتان پایان نمی‌یابد. بسیاری از سایت‌ها به سرویس‌های طرف ثالثی متکی‌اند که خود آن‌ها نیز ممکن است بر پایه پی‌اچ‌پی کار کنند.
رهات مسعود، استاد ارشد امنیت سایبری در دانشگاه نیو ساوت ولز در سیدنی، می‌گوید: «اگر این طرف‌های ثالث در نصب وصله کند عمل کنند، آن‌گاه حتی اگر خودتان وصله را نصب کرده باشید... همچنان ناایمن هستید.»
کریسون اضافه می‌کند که پی‌اچ‌پی تمام ماجرا نیست و امنیت سایبری قوی مستلزم چندین لایه دفاعی است تا شکستن یک قفل به معنی باز شدن همه درها نباشد.
بنیاد پی‌اچ‌پی نیز از این ماجرا برای طرح یک درخواست صریح بهره گرفته‌است. این زبان زیرساخت خدمات دولتی، بانک‌ها و فروشگاه‌های آنلاین در سراسر جهان را تشکیل می‌دهد، اما امنیت آن همچنان بر دوش گروه کوچکی از توسعه‌دهندگان حقوق‌بگیر بنیاد و داوطلبان قرار دارد.
این بنیاد می‌گوید ابزارها اکنون می‌توانند باگ‌ها را سریع‌تر از هر زمان دیگری پیدا کنند، اما تصمیم‌گیری درباره چگونگی رفع آن‌ها بدون آن که وب از کار بیفتد به مهندسان باتجربه نیاز دارد.