درجة ثقة المجتمعموثّق
ظلّت ثغرة أمنية خطيرة في PHP من دون إصلاح لأشهر. والآن، تسابق منصات التداول والبوابات الحكومية ومنصات العملات المشفرة الزمن لمعالجة المشكلة.
أقرّت PHP Foundation علناً، الأربعاء، بأن ترددها ونقص موظفيها أخّرا إصلاح ثغرة خطيرة رُصدت للمرة الأولى في 2024. ولم يتمكن المطورون من إيجاد إصلاح لا يتسبب في تعطيل النظام البيئي الواسع للبرمجيات المبنية على PHP. كان الفريق الأساسي صغيراً، والمسؤوليات كبيرة، وتعثر العمل على الحل ثم استؤنف مراراً على مدى عدة أشهر. ووصفت المؤسسة ما حدث بأنه إخفاق هيكلي، سواء في آلية اتخاذ فريق الأمن قراراته أو في محدودية الموارد المتاحة له لتنفيذها.
وكان العمل على الإصلاح قد تعثر مراراً قبل أن يعرف أي طرف من خارج الفريق مدى خطورة الوضع.
كيف تحركت جهود الإصلاح أخيراً
عادت الثغرة إلى دائرة اهتمام المؤسسة في 11 أغسطس، بعدما أشارت إليها بشكل مستقل كل من شركة الأمن Calif وOpenAI. وذهبت Calif إلى أبعد من ذلك، إذ أثبتت إمكانية تنفيذ تعليمات برمجية عن بُعد دون شروط، ما يعني أن المهاجم يستطيع تشغيل تعليمات برمجية على خادم معرض للخطر من دون تسجيل الدخول إطلاقاً. وسرعان ما رفع ذلك مستوى الاستعجال. وتعاملت المؤسسة مع المسألة باعتبارها أولوية أمنية قصوى، وأصدرت تصحيحات طارئة تغطي ثغرتين خطيرتين مرتبطتين بها. وقال فريق أمن PHP إنه لم يعثر على استغلالات عملية للثغرة في هجمات فعلية عند الإعلان عنها علناً. لكن حجم الضرر المحتمل كان واضحاً بما يكفي كي لا تنتظر المؤسسات.
أوقفت حكومات مواقعها الإلكترونية. ولم يكن ذلك رداً على هجمات مؤكدة، بل إجراءً احترازياً.
أغلقت هولندا خدمة هويتها الرقمية، كما أوقف المركز الوطني للأمن السيبراني فيها موقعه الإلكتروني. وفصلت Valtori، مزود خدمات تقنية المعلومات الحكومي في فنلندا، الخدمات الحكومية العامة على الإنترنت. وأوقفت وزارة الداخلية الفرنسية مؤقتاً مواقع المحافظات. وعطّلت ITZBund، مزود خدمات تقنية المعلومات الاتحادي في ألمانيا، عدة مواقع. وفي أستراليا، أكدت مديرية الإشارات الأسترالية أن موقع cyber.gov.au، وهو موقعها الخاص بالإرشادات المتعلقة بالأمن السيبراني، كان من بين المواقع الحكومية المتأثرة. ولم يحدد المصدر مدة توقفه.
ونشرت رئيسة الوزراء اليابانية Sanae Takaichi على X منشوراً تحث فيه مشغلي المواقع الإلكترونية على تثبيت التصحيح سريعاً. وقالت إن على المشغلين الذين لا يستطيعون تثبيته فوراً التفكير في تعليق وظائف مواقعهم مؤقتاً للحد من المخاطر.
وأوقفت Wikimedia Foundation خدمات داعمة أيضاً، منها Toolforge وCloud VPS، اللذان يستضيفان أدوات طورها مطورون متطوعون. كما تعطلت أجزاء من Wikipedia يوم الأربعاء.
قطاع العملات المشفرة يتحقق من حجم تعرضه
أجرت شركة أمن البلوكتشين SlowMist مسحاً باستخدام خدمة MistEye التابعة لها. وشمل المسح 1,488 نطاقاً في قطاع العملات المشفرة، وعثر على بصمات مباشرة لـPHP في 793 منها. وهذا عدد للنطاقات، وليس عدد الأنظمة التي تأكدت إصابتها بالثغرة، لكنه يشير إلى أن قسماً كبيراً من القطاع كان بحاجة إلى التحقق من وضعه سريعاً. وحثت SlowMist منصات التداول ومنصات التمويل اللامركزي (DeFi) ومزودي المحافظ على مراجعة مدى تعرضهم وتحديث أنظمتهم من دون تأخير.
وأوقفت Intersect، وهي منظمة عضوية معنية بالتطوير والحوكمة في Cardano، قسم الأعضاء على موقعها أثناء تقييمها احتمالات تعرضه للثغرة. وظلت الصفحة متوقفة وقت نشر المقال.
وقال Jeff Lunglhofer، كبير مسؤولي الأمن في Coinbase، إن الشركة لم تعثر على أي دليل على وجود أنظمة PHP مكشوفة. وأضاف أن Coinbase أجرت مسحاً شاملاً بعد علمها بثغرات من هذا النوع، وتعاونت مع مزودي خدمات من أطراف ثالثة للحصول على ضمانات إضافية.
وقالت BitGo، شركة البنية التحتية للأصول الرقمية، إن منصتها لم تتأثر هي الأخرى.
ونشر Changpeng Zhao، الشريك المؤسس لـBinance، تحذيراً يوم الأربعاء، دعا فيه مستخدمي الإنترنت إلى توخي مزيد من الحذر عند زيارة المواقع الإلكترونية خلال الأيام المقبلة. وقال إن بعض مسؤولي المواقع قد لا يكونون قد ثبّتوا أحدث التصحيحات الأمنية، وهو ما يبدو مصدر قلق معقولاً بالنظر إلى حجم منظومة PHP.
ولم تكتفِ OpenAI بالإبلاغ عن الخلل، بل أصدرت مهارة Codex لمساعدة مشغلي المواقع الإلكترونية على التحقق من إصدارات PHP التي قد تكون معرضة للخطر والعثور على التحديثات المناسبة. والأداة متاحة عبر GitHub.
لم تُحدَّد علناً أي استغلالات عملية للثغرة وقت الكشف عنها. لكن سرعة إغلاق المواقع الحكومية واتساع نطاق المسح في قطاع العملات المشفرة، الذي رصد 793 نطاقاً من أصل 1,488 نطاقاً جرى فحصها، يوضحان مدى جدية تعامل القطاع مع هذه الثغرة. ولم يكن وصف PHP Foundation لما حدث بأنه إخفاق هيكلي مجرد محاولة لصياغة الأمر. بل كان إقراراً بأن التأخر أشهراً في معالجة مشكلة معروفة فرض حالة طوارئ على حكومات ومنصات حول العالم. وكان إثبات Calif إمكانية تنفيذ تعليمات برمجية عن بُعد هو ما حسم الأمر أخيراً.
الأسئلة الشائعة
ما سبب التأخر الطويل في إصلاح ثغرة PHP الأمنية؟
قالت PHP Foundation إن التردد ومحدودية الموارد عرقلتا إصلاح ثغرة رُصدت للمرة الأولى في 2024، فيما واجه المطورون صعوبة في إيجاد حل لا يعطل النظام البيئي الواسع للبرمجيات المبنية على PHP. وتوقف العمل ثم استؤنف مراراً على مدى عدة أشهر، قبل أن تثبت Calif في أغسطس إمكانية تنفيذ تعليمات برمجية عن بُعد دون شروط.
كم نطاقاً في قطاع العملات المشفرة ظهرت فيه بصمات PHP خلال مسح SlowMist؟
عثرت خدمة MistEye التابعة لـSlowMist على بصمات مباشرة لـPHP في 793 نطاقاً من أصل 1,488 نطاقاً قيّمتها في قطاع العملات المشفرة. وحدد هذا العدد نطاقات يظهر فيها PHP، وليس أنظمة تأكدت إصابتها بالثغرة.
