نُشرت تفاصيل ثغرة خطيرة في لغة البرمجة PHP، التي تُشكّل العمود الفقري لأكثر من 70% من مواقع الإنترنت. وإذا لم تُعالج هذه الثغرة، فسيُمكّن ذلك المخترقين من السيطرة بسهولة على ملايين المواقع الإلكترونية واختراق المعلومات المخزنة على خوادمها. واستجابةً لذلك، العديد من الحكومات الأوروبية والجهات المشغلة، بما في ذلك ميناء روتردام، بإيقاف مواقعها الإلكترونية.
وقد حذرت كل من مديرية الإشارات الأسترالية ووكالة الدفاع السيبراني الأمريكية وهيئات مماثلة من المملكة المتحدة وأوروبا واليابان مطوري الويب من ضرورة تطبيق تحديثات عاجلة على أنظمتهم الأساسية، والنظر في إيقاف مواقع الويب حتى يتم ضمان السلامة.
المنظمة التي تقف وراء لغة البرمجة المجانية والمفتوحة المصدر تحديثات تعمل على إصلاح الخلل، ولكن إجراء التحديثات على ملايين الأنظمة التي تستخدم لغة PHP سيستغرق وقتاً.
ما هي لغة PHP؟
غالباً ما يُطلق على لغة PHP اسم "العمود الفقري للويب". إنها لغة برمجة - طريقة لإعطاء التعليمات لأجهزة الكمبيوتر - موجودة منذ عام 1997، وهي تسمح للمواقع الإلكترونية بإدارة مدخلات المستخدم ومعالجة المعلومات في الخلفية.
تكمن قوة لغة PHP في تنوع استخداماتها. تستخدمها مواقع الويب في كل شيء بدءًا من تسجيل دخول المستخدمين إلى الحسابات وإدارة المتاجر الإلكترونية، وصولًا إلى طلب البيانات من قواعد البيانات ودعم ملايين منشورات المدونات ومواقع الأخبار.
يعمل PHP على الخادم وليس على جهاز الكمبيوتر الشخصي. هذا يعني أن معظمنا يتعامل مع PHP يوميًا دون أن يراها.
جدول زمني للمخاوف
في شهر أغسطس، استخدم باحثون في مجال الأمن السيبراني من شركة تسمى Wiz أدواتهم الخاصة وأحدث إصدارات نماذج الذكاء الاصطناعي Gemini من Google و ChatGPT من OpenAI للبحث في قاعدة بيانات PHP الضخمة.
كان فريق Wiz يبحث عن نقاط ضعف برمجية خفية يمكن للمهاجم ربطها معًا للسيطرة على نظام يعمل بنظام PHP ببساطة عن طريق إرسال طلب مصمم بعناية عبر الإنترنت.
في غضون أيام قليلة، وجدوا طرقًا لاختراق الأنظمة التي تعمل بتقنية PHP من خلال Drupal و WordPress والتي تستخدم في مساحات شاسعة من الويب.
تواصل ويز مع فريق أمن PHP لإبلاغهم بالثغرات التي اكتشفوها. وبحلول أواخر سبتمبر، أكد مطورو PHP وجود المشكلة، وبدأوا العمل بهدوء على إصلاحها.
في مجال الأمن السيبراني، يُعدّ الحفاظ على سرية الثغرة الأمنية المكتشفة أمراً بالغ الأهمية حتى يتمّ إصدار تحديث لها. وذلك لأنّ الكشف عنها للعامة قد يُتيح للمخترقين استغلالها بسهولة.
يبدو أن هذا ما كان يخطط له مطورو لغة PHP. مع ذلك، كشف أحد مستخدمي موقع Hacker News الشهير، أمس، عن ثغرات أمنية قبل أن تُجهز أي تحديثات أمنية
بعد التسريب، سارع مطورو لغة PHP إلى تأكيد المشكلة علنًا في 21 أكتوبر، وقاموا بإصدار تصحيحات طارئة قبل الموعد المحدد.
إن تطبيق هذه التحديثات ليس بالأمر السهل على الإطلاق. فنظرًا لأن لغة PHP تعمل تحت آلاف الإضافات والإطارات البرمجية وخدمات الاستضافة المُدارة التابعة لجهات خارجية، فإن المواقع الإلكترونية لا تصبح آمنة إلا بعد أن تقوم كل طبقة من طبقات سلسلة التوريد بدمج وتطبيق إصلاح PHP.
لماذا يستمر هذا في الحدوث؟
يعتمد جزء كبير من الإنترنت على تقنيات أساسية طُوِّرت وصيانتها من قِبَل مطورين هواة. ويعتمد الكثير منهم على النوايا الحسنة والتبرعات بدلاً من التمويل المؤسسي القوي.
تم تطوير العديد من هذه الأدوات لأول مرة منذ عقود. ولم يتم تصميمها مطلقاً لدعم عالم تستخدم فيه ملايين المواقع الإلكترونية ومليارات الأجهزة هذه الأدوات بشكل آمن للتعامل مع البيانات الحساسة والخاصة.
ومما يزيد الأمر تعقيداً أن الصيانة نادراً ما تكون أولوية للمؤسسات. ففي كثير من الأحيان، لا تملك الشركات سوى معرفة أساسية للغاية بجميع أجزاء سلاسل التوريد الخاصة بها، سواء كانت مادية أو رقمية.
حتى في القضايا البارزة مثل هذه، لا تدرك العديد من الشركات حتى البرامج التي تعتمد عليها، ناهيك عن أن يكون لديها أي فكرة عن مدى أمانها في الواقع.
ماذا يجب عليك أن تفعل؟
تُعدّ هذه المسألة مهمة بالدرجة الأولى للأشخاص الذين يديرون مواقع الويب أو البنية التحتية التقنية. بالنسبة لهؤلاء، الأولوية واضحة: تحديث الأنظمة فور توفر التحديثات، والنظر في إيقاف الأنظمة الحيوية عن الإنترنت حتى يتم التأكد من أمانها.
بالنسبة لمستخدمي الإنترنت العاديين، تؤثر هذه الثغرات الأمنية على الخوادم التي تستضيف المواقع الإلكترونية وليس على أجهزتهم الشخصية. ومع ذلك، ونظرًا لاحتمالية تعرض بعض المواقع للاختراق مؤقتًا قبل إصلاحها، يُنصح بتوخي الحذر عند إدخال بيانات شخصية حساسة على مواقع إلكترونية غير مألوفة خلال الأيام القليلة القادمة.
يقوم كبار مزودي الخدمات السحابية وشركات الأمن بإطلاق مرشحات الطوارئ، لكن السباق العالمي لتأمين الإنترنت ما زال في بدايته.
تسارع فرق الأمن السيبراني حول العالم لاحتواء الأضرار. لكن حجم هذه المشكلة يجب أن يكون بمثابة جرس إنذار.
لا يمكن للحكومات والشركات تجاهل مرونة سلاسل التوريد الرقمية الخاصة بها. فكما يتتبع المصنّعون موردي المكونات المادية التي يعتمدون عليها، ينبغي أن نتوقع أن تتتبع البنية التحتية الرقمية أيضاً كل نظام وإطار عمل تعتمد عليه.
يُعدّ جمع هذه المعلومات الخطوة الأولى للشركات والحكومات لفهم مدى اعتماد استمراريتها الرقمية على البرمجيات التي تُدار من قِبل متطوعين وتُعاني من نقص التمويل. وطالما لم تُعامل الشركات تمويل الأدوات الأساسية مفتوحة المصدر كاستثمار أمني بالغ الأهمية بدلاً من اعتباره عملاً خيرياً، فستستمر هذه الثغرات الأمنية في الظهور.
أندرو كولين، باحث زائر، كلية الحوسبة ونظم المعلومات، جامعة ملبورن.
نُشرت هذه المقالة مُجددًا من موقع "ذا كونفرسيشن" بموجب ترخيص "كرييتف كومنز". اقرأ المقالة الأصلية.
