تجذب ثغرة PHP واسعة التداول اهتمامًا كبيرًا، إلا أن الكاتب يرى أن استغلالها ليس سهلًا بأي حال. فرغم وجود آلاف الشيفرات الخاصة بإثبات المفهوم (proof-of-concept) على GitHub، وجد الكاتب أنه لا يعمل أي منها ضد نسخة PHP عادية عند تشغيلها مباشرة داخل Docker.
ويقارن الكاتب هذه الثغرة بعيوب شهيرة مثل Log4Shell وHeartbleed وShellshock ومشكلة فك ترميز YAML، والتي استُخدمت جميعها كسلاح سريعًا من قِبل شبكات الروبوتات (botnets) في غضون ساعات من الإعلان عنها. ويلاحظ الكاتب أن معظم شيفرات إثبات المفهوم الخاصة بـ PHP تعتمد على تضمين الملفات المحلية (LFI)، ما يعني أن الخادم المستهدف يجب أن يحتوي مسبقًا على ثغرة منفصلة تتيح للمهاجمين قراءة الملفات. ويقول الكاتب إن هذا الشرط يجعل هذه الثغرة أقل خطورة بكثير مما تُظهره العناوين.
كما يحمّل الكاتب أدوات الذكاء الاصطناعي مسؤولية نشر الادعاءات المبالغ فيها. ويرى أن كثيرين افترضوا أن النماذج اللغوية الكبيرة قادرة على بناء سلاسل استغلال عاملة فورًا انطلاقًا من فرق التصحيح (patch diff)، وأن بعض شيفرات إثبات المفهوم يبدو أنها أُنتجت بهذه الطريقة، وأحيانًا بتعديل خادم الاختبار ليصبح عرضة للثغرة.
ويضيف الكاتب أن الاعتماد الواسع على أدوات مثل Claude وGPT يؤدي إلى توحيد قرارات التصميم والحكم في الصناعة بأكملها. ومع ذلك، يشدد على أن الثغرة حقيقية ومهمة، وأن الأدلة الحالية ببساطة لا تُظهر وجود استغلال جاهز وواسع الاستخدام.
المصدر: Hacker News · لخّصه HeadlinesBriefing