أثارت ثغرتان حرجتان في لغة البرمجة PHP، التي تقوم عليها نسبة تُقدَّر بـ70% من المواقع الإلكترونية، سباقاً عالمياً للتحديث هذا الأسبوع بعد أن أظهر الباحثون أن الثغرتين قد تمنحان المهاجمين السيطرة على الخوادم دون كلمة مرور.
واكتُشفت الثغرتان باستخدام نماذج OpenAI، بالتعاون مع شركتي الأمن Wiz و Calif. وأطلق الفريق على مجموعة الثغرات اسم PHP2Shell. وكانت إحدى الثغرتين موجودة في اللغة منذ 14 عاماً.
ما تتيحه الثغرة
كان بإمكان المهاجمين الاستيلاء على خوادم الويب المتأثرة دون مصادقة وقراءة الذاكرة التي قد تحتوي على كلمات المرور وبيانات الجلسات. ولأن PHP تقوم عليها ووردبريس ودروبال وقائمة طويلة من المواقع المخصصة، فإن التعرض يمتد إلى المستشفيات وتجار التجزئة والبوابات الحكومية، وليس شركات التكنولوجيا فقط.
وقارنت Wiz خطورة الثغرة بثغرة Heartbleed، ثغرة التشفير عام 2014 التي كشفت بيانات عبر جزء كبير من الويب. وقال الباحثون إن الثغرة معقدة بما يكفي لتكون على حدود ما يستطيع المحللون البشريون استغلاله، وسهلة على وكيل ذكاء اصطناعي يستطيع تنفيذ خطوات الهجوم بنفسه.
من طلب من المؤسسات التحرك
نصحت وكالة الأمن القومي الأمريكية ووكالة الأمن السيبراني في الاتحاد الأوروبي بالتحديث الفوري. وقالتا إن الأنظمة التي لا يمكن تحديثها بسرعة ينبغي فصلها عن الشبكة. وفعلت بعض المواقع الحكومية الأوروبية ذلك بالضبط، وأظلمت أجزاء من خدماتها العامة ليوم واحد.
وقال دان كنخت، كبير مسؤولي التكنولوجيا في كلاودفلير، إن الشركة رصدت محاولات هجوم مبكرة قبل أن يصبح التحديث علنياً. وأصدرت OpenAI أداة يمكن للمسؤولين تشغيلها للتحقق مما إذا كان التثبيت مكشوفاً.
لماذا كان الكشف متسرعاً
تسربت التفاصيل على الإنترنت هذا الأسبوع، ما أجبر القائمين على صيانة PHP على نشر التحذير والتحديث قبل الموعد المخطط. وقد قلّص ذلك الفجوة بين التحذير والاستغلال، وهي الفجوة التي يعتمد عليها المدافعون أكثر من غيرها.