به گزارش WIRED و بر اساس تحلیلی از Cloudflare، ظرف چند ساعت پس از افشای عمومی آسیب‌پذیری‌های تازه PHP، میلیون‌ها تلاش برای سوءاستفاده از آن‌ها انجام شد. این نقص‌ها که در مجموع PHP2Shell نام گرفته‌اند، تیم‌های امنیتی و مدیران وب‌سایت‌ها را به انتشار فوری وصله‌ها واداشتند.
تا این لحظه، هیچ رخنه گسترده‌ای گزارش نشده است. بنیاد PHP می‌گوید از بهره‌برداری موفق از این باگ‌ها اطلاعی ندارد و بسیاری از اکسپلویت‌هایی که به‌صورت عمومی منتشر شده‌اند، ظاهراً کارآمد نیستند. WIRED نسخه‌های آسیب‌پذیر PHP را مشخص نکرده و دستورالعملی برای نصب وصله‌ها نداده است.
هوش مصنوعی به پژوهشگران در یافتن راه نفوذ کمک کرد
پژوهشگران شرکت امنیتی Calif نخستین کسانی بودند که این آسیب‌پذیری‌ها را شناسایی کردند و در اوایل آگوست اکسپلویت‌هایی برای آن‌ها ساختند؛ آن‌ها بخشی از این کار را با ابزارهای پیشرفته هوش مصنوعی و در قالب برنامه Patch the Planet شرکت OpenAI انجام دادند. این پژوهش همچنین به تخصص انسانی در PHP متکی بود. پژوهشگران OpenAI و Wiz، متعلق به Google، نیز بعدتر و به‌طور مستقل با کمک ابزارهای هوش مصنوعی نقص‌های PHP2Shell را پیدا کردند.
برخی از مشکلات زیربنایی این نقص‌ها در سال 2024 شناسایی شده بودند، اما بهره‌برداری از آن‌ها بیش از حد دشوار تلقی می‌شد. Sagi Tzadik، پژوهشگر Wiz، گفت تیم PHP سال‌ها از این آسیب‌پذیری خبر داشت، اما آن را برطرف نکرده بود چون مهاجم انسانی نمی‌توانست از آن استفاده کند. هوش مصنوعی کمک کرد نقصی که پیش‌تر در عمل قابل بهره‌برداری نبود، به راهی عملی برای حمله تبدیل شود.
فشار بیشتر، نه هک خودکار
این ماجرا نشان می‌دهد هوش مصنوعی می‌تواند تحلیل آسیب‌پذیری‌ها و بهره‌برداری از آن‌ها را سرعت ببخشد و بر تیم‌های امنیتی که همین حالا هم با حجم زیادی از نقص‌ها سروکار دارند، فشار بیشتری وارد کند. WIRED می‌نویسد به‌روزرسانی‌های امنیتی Microsoft در آن ماه شامل رکورد 1,453 آسیب‌پذیری بود و Bank of America نیز برای رسیدگی به نقص‌هایی که Mythos، محصول Anthropic، پیدا کرده بود، 1,000 مشاور استخدام کرد.
پژوهشگرانی که WIRED با آن‌ها گفت‌وگو کرده است، هشدار می‌دهند که نباید فرض کرد هوش مصنوعی هر باگ قدیمی را پیدا می‌کند. Ryan Austin، پژوهشگر Calif، گفت هیچ مدلی نمی‌تواند با چند دستور ساده همه باگ‌ها را بیابد؛ کارشناسان دیگر هم تأکید کردند که کشف نقص‌های PHP به تیمی ماهر نیاز داشت. یکی از پژوهشگران همچنین اشاره کرد که گستردگی حضور PHP در اینترنت، آن را به هدفی نامتعارف تبدیل می‌کند؛ این ماجرا ثابت نمی‌کند که هر نقص قدیمی نرم‌افزاری به‌زودی قابل بهره‌برداری خواهد شد.
چرا مهم است
برای مدیرانی که مسئولیت سامانه‌های PHP را بر عهده دارند، گزارش WIRED دلیلی است برای جدی‌گرفتن نقص‌هایی که به‌صورت عمومی افشا می‌شوند: تلاش‌ها خیلی زود آغاز شد، هرچند حمله موفقی گزارش نشده است. WIRED نسخه‌های آسیب‌پذیر یا وصله‌های مربوط را مشخص نکرده است؛ بنابراین مدیران باید به‌جای حدس‌زدن درباره آسیب‌پذیری سامانه‌هایشان، راهنمای رسمی PHP را بررسی کنند.
