ثغرات في PHP تضع ملايين المواقع أمام سباق عاجل لتثبيت التحديثات

دفعت ثغرات أمنية في لغة البرمجة PHP، التي تعتمد عليها نسبة واسعة من مواقع الإنترنت، شركات ومؤسسات حكومية إلى مراجعة أنظمتها وتثبيت تحديثات عاجلة، وسط تحذيرات من باحثين أمنيين بشأن محاولات لاستغلالها، وأوقفت بعض الجهات مواقعها بصورة مؤقتة لإتمام التحديثات اللازمة قبل إعادة الخدمات إلى العمل.

وتبرز الأزمة حجم الاعتماد على مكونات برمجية مشتركة في تشغيل الخدمات الرقمية؛ إذ يمكن أن يؤثر خلل في تقنية مستخدمة على نطاق واسع في مواقع الشركات ومنصات النشر وخدمات المؤسسات العامة، وتُستخدم PHP في معالجة طلبات المستخدمين والتعامل مع قواعد البيانات والعمليات التي تجري في الخلفية قبل عرض صفحات المواقع للزوار.

انتشار واسع يجعل التأثير أكبر

رغم أن PHP طُرحت قبل أكثر من 30 عاماً، فإنها لا تزال ضمن التقنيات الأساسية لدى عدد كبير من المواقع، وتعتمد عليها منصات مثل WordPress لإدارة المحتوى والمواقع، وDrupal لبناء المواقع الإلكترونية وتطويرها.

وتشير التقديرات الواردة إلى استخدام PHP في نحو 70% من المواقع الإلكترونية، لذلك، فإن أي مشكلة أمنية مرتبطة بها قد تمتد آثارها إلى نطاق واسع من الخدمات، بدلاً من أن تقتصر على موقع أو تطبيق منفرد.

ما الذي تتيحه الثغرات للمهاجمين؟

ترتبط الثغرات بكيفية تعامل PHP مع ذاكرة الحاسوب والأخطاء البرمجية، وهما جانبان مؤثران في تشغيل المواقع، ووفقاً لوكالة الأمن القومي الأمريكية، قد يرسل المهاجم طلباً صُمم خصيصاً لاستغلال الخلل والتدخل في طريقة معالجة النظام للذاكرة، بما قد يفتح المجال للوصول إلى ملفات الخادم أو قواعد البيانات.

والخادم هو النظام الذي يحتفظ ببيانات الموقع ويقدم محتواه للزوار، وإذا نجح مهاجم في الوصول إليه، فقد لا تقتصر النتائج على تعطل الموقع أو ظهور أخطاء، بل قد تمتد، بحسب الثغرة وظروف الهجوم، إلى تعريض البيانات المخزنة وأجزاء أخرى من النظام للخطر.

وأطلقت شركة الأمن السيبراني Hadrian تسمية PHP2Shell على أسلوب الاستغلال المرتبط بهذه الأزمة، وقال باحثون أمنيون إن الثغرات تعرضت للاستهداف بالفعل، وهو ما يجعل الاستجابة لها مسألة عاجلة وليست مجرد احتياط لمخاطر مستقبلية.

صعوبة الإصلاح في الأنظمة المتعددة

أوضحت مؤسسة PHP Foundation، التي تدعم تطوير اللغة، أن المكونات المتأثرة متداخلة بعمق مع آلية عمل PHP، ويجعل ذلك إدخال التغييرات المطلوبة أكثر تعقيداً، بسبب ضرورة تجنب التأثير في المواقع القائمة أو أدائها أو الإضافات التي طورها مبرمجون آخرون.

ويحتاج مشغلو المواقع إلى تحديد نسخ PHP العاملة في أنظمتهم، ومعرفة ما إذا كانت مشمولة بالثغرات، ثم تطبيق الإصلاحات المناسبة، وتصبح العملية أكثر تعقيداً لدى المؤسسات التي تدير عدداً كبيراً من المواقع والخدمات، ولا تمتلك سجلاً كاملاً للأنظمة التي تعتمد على PHP داخل بنيتها التقنية.

دور الذكاء الاصطناعي وتوقيت الكشف

أظهرت القضية جانباً من الاستخدام المتنامي للذكاء الاصطناعي في الأمن السيبراني، فالنماذج المتقدمة قادرة على فحص كميات كبيرة من الشيفرات البرمجية، وقد تساعد في رصد عيوب يصعب اكتشافها بالاختبارات التقليدية أو يتطلب العثور عليها وقتاً أطول.

وقالت مؤسسة PHP Foundation إنها استخدمت نموذجاً متقدماً للذكاء الاصطناعي من شركة أنثروبيك في فحص شيفرة PHP، كما أُدرجت اللغة في برنامج Patch the Planet التابع لشركة OpenAI، وذكرت أن اكتشاف الثغرات جاء في توقيت متقارب مع اكتشاف الباحث المستقل Ryan A لها في منتصف أغسطس.

وكان مخططاً الإعلان عن الثغرات في 22 أكتوبر، لإتاحة وقت للمؤسسات من أجل الاستعداد وتثبيت التحديثات، لكن المؤسسة قدمت موعد الإعلان بعدما بدأت تفاصيل عنها بالظهور في المنتديات ومنصات التواصل الاجتماعي.

كما أفادت Amazon Threat Intelligence برصد محاولة استغلال قبل الكشف العلني بأربعة أيام، وقالت إنها عثرت على شيفرات إثبات مفهوم، أو PoC، تشرح آلية استغلال الثغرات قبل الموعد المقرر للإعلان، ولا تتوافر، وفق المعلومات المنشورة، تفاصيل تحسم كيفية حصول الجهة التي نفذت محاولة الاستغلال المبكرة على معلومات الثغرات.

وفي مقابل دور الذكاء الاصطناعي في دعم المطورين لاكتشاف العيوب ومعالجتها بسرعة، قد تستفيد منه جهات خبيثة أيضاً للبحث عن نقاط الضعف، بما يزيد من وتيرة المنافسة بين فرق الحماية والمهاجمين.

التصحيحات متاحة وسرعة التطبيق هي الفارق

أصدرت مؤسسة PHP Foundation تحديثات أمنية لمعالجة الثغرات، فيما لجأت بعض المؤسسات إلى تعليق مواقعها مؤقتاً خلال تثبيت الإصلاحات، وعادت بعض الخدمات للعمل بعد تحديث أنظمتها، إلا أن توفر التصحيح لا يعني حماية جميع المواقع المتأثرة تلقائياً.

ويتطلب تأمين المواقع حصر نسخ PHP المستخدمة، وتحديد الإصدارات المحتاجة إلى تحديث، ثم التحقق من تطبيق الإصلاحات بصورة كاملة، وقد يكون تعليق الخدمة مؤقتاً خياراً ضرورياً عندما يتعذر تأمينها فوراً، بهدف خفض احتمال استغلالها.

وحذر خبراء من أن بقاء الموقع متاحاً للزوار لا يثبت بالضرورة أنه آمن، إذ تظل المواقع عرضة للهجمات ما لم يبادر مشغلوها إلى تثبيت التحديثات المطلوبة.

وأعادت الأزمة كذلك طرح مسألة الموارد المتاحة لصيانة البرمجيات الأساسية التي يعتمد عليها الإنترنت، فمؤسسة PHP Foundation تضم نحو 13 مهندساً يعملون بدوام كامل أو جزئي. 

وتعتمد في تمويل أعمالها على المساهمات المالية، وتظهر الوقائع أن إصدار التصحيحات وحده لا يكفي، ما لم تتوافر الموارد لتطوير البرمجيات وضمان وصول التحديثات إلى الأنظمة المتأثرة في أسرع وقت.