نشرت OpenAI في 21 أكتوبر 2026 مدونة تقول فيها إنها قادت خلال شهرين تحالفاً من المشرفين والباحثين ومزودي الأمن لمعالجة ثغرتين حرجتين في لغة PHP، واقترحت فيها إطاراً من خمس مراحل للاستجابة للثغرات الحرجة في البرمجيات واسعة الاستخدام.
وتقول OpenAI إن باحثي Calif حددوا ثغرة حرجة باستخدام نموذجها GPT-5.6 Sol ضمن مبادرتها Patch the Planet، وإن Wiz اكتشفت الثغرتين وأبلغت عنهما بصورة مستقلة، بينما قاد مشرفو PHP الإصلاح والإصدار. وترى الشركة، على حد علمها، أن الذكاء الاصطناعي المتقدم وجد الثغرتين قبل المهاجمين، فأتاح للمشرفين ومزودي الأمن مهلة للتحضير قبل الإفصاح. لكنها تحذر من أن القدرات نفسها قد تتيح للمهاجمين بناء أدوات واستغلالات بسرعة، وتتوقع أن تزداد الاكتشافات المماثلة بحدة في الأشهر القادمة.
وأصدرت PHP في اليوم نفسه الإصدارات 8.5.12 و8.4.27 و8.3.36 و8.2.35 لإغلاق الثغرتين CVE-2026-109618 وCVE-2026-109619، وتبلغ خطورة كل منهما 9.2 بحسب CVSS v4.0.
وتتفاوت روايات الباحثين في توزيع الفضل. فتقول Calif إن الثغرتين اكتشفتها هي وOpenAI وWiz، بينما تذكر Wiz أنها اكتشفت أولى الثغرات في 19 أغسطس وأبلغت PHP في 24 أغسطس، وتشكر Calif وOpenAI على الاكتشاف والتنسيق والتحقق من الإصلاح دون أن تفصل دور كل منهما.
أما الإطار المقترح فيبدأ بالتحقق من الثغرة وإصلاحها مع اختبار الإصلاح بنماذج متقدمة بحثاً عن التفافات عليه. ثم تمنح الجهات المتأثرة وقتاً للتحضير، فقد يعدل موزع الإصلاح لإصدار أقدم، ويختبر مزود الاستضافة حلاً مؤقتاً، ويجهز مزود الأمن قواعد كشف أو منع منها قواعد جدار حماية تطبيقات الويب. وتأتي بعدها مرحلة التنسيق مع الجهات الحكومية، ثم تجهيز التحديثات للمنتجات المتأثرة، وأخيراً نشر الإرشادات ودعم النشر.
وفي حالة PHP، تقول OpenAI إنها تواصلت مع أجزاء من الحكومة الأمريكية، بينها مكتب المدير الوطني للأمن السيبراني (ONCD) ووكالة الأمن السيبراني وأمن البنية التحتية الأمريكية (CISA)، ومع شركاء دوليين. وتؤكد أن المشرفين هم من يقرر الجهات التي تطلع على المعلومات قبل الإفصاح، وأن لكل مشارك ما يلزمه لعمله الدفاعي، من سجلات الشبكة ومؤشرات الاختراق إلى إثباتات مفهوم أكثر حساسية.
وعلى صعيد الدعم، التزمت OpenAI بمليار دولار من وصول Daybreak المدعوم عبر برنامج Daybreak for Frontline Defenders للجهات محدودة الموارد التي تحمي خدمات أساسية، وبتقديم اشتراكات Codex for OSS لكل المشرفين، إضافة إلى رعاية مباشرة لمشاريع منها Rust Foundation.
وتطلب الشركة من المجتمع الأمني ملاحظاته على الإطار، وتطرح أسئلة مفتوحة، منها: كم من الوقت يحتاج المشرفون والمشغلون لنشر إصلاحات موثوقة؟ ومتى، إن جاز أصلاً، يجوز للحكومات أو المشغلين استغلال ثغرة لترقيع أنظمة يملكونها أو مخولون بإدارتها بعد فقدان الوصول الإداري إليها، وما الضمانات؟ وتتصور OpenAI نهاية ممكنة هي مسح دائم للإنترنت بحثاً عن الثغرات المعروفة، مع إخطار أصحاب المواقع أو ترقيع النظام.
أما حالة الاستغلال فلم تحسم. فقالت CISA إنها لم ترصد استغلالاً للثغرتين حتى وقت نشر تنبيهها، بينما قالت Cloudflare إنها رصدت هجمات مبكرة على الثغرتين قبل صدور الإصلاح.
