مؤسسة PHP تصدر إصلاحات لثغرتين في لغة تستخدمها مواقع كثيرة حول العالم

أعلنت مؤسسة PHP، الأربعاء، إصدار إصلاحات لثغرتين أمنيتين في لغة البرمجة التي تستخدمها مواقع وتطبيقات ويب حول العالم، مع تعليمات لتحديث الأنظمة. وجاء الإعلان بعدما حذر باحثون من أن استغلال الثغرتين قد يتيح للمهاجمين السيطرة على خوادم مواقع غير محمية وسرقة بيانات مستخدميها أو تعطيلها.

تُستخدم PHP، وهي اختصار لعبارة تعني «الصفحة الرئيسية الشخصية»، في ما يصل إلى 70% من مواقع وتطبيقات الويب في العالم، ومنها مواقع لجهات حكومية ومنصات تواصل اجتماعي مثل فيسبوك ومواقع مثل ويكيبيديا. وقال فولديماراس كاديس، رئيس الأمن في شركة ميدياتك، إن خللًا أُطلق عليه اسم PHP2Shell يمكن أن يستهدف ثغرتين في اللغة، بما قد يسمح للمهاجمين بتثبيت برمجيات خبيثة، وسرقة بيانات العملاء، بل وإيقاف المواقع تمامًا.

وقال روبرت ماك ميلان، مراسل «وول ستريت جورنال» الذي كان أول من نشر خبر المشكلة الأمنية، لشبكة CBS News إن باحثين اكتشفوا الثغرتين باستخدام نموذج ذكاء اصطناعي من Open AI. وأضاف أن مواقع كثيرة قد لا تدرك أن لديها مشكلة. ووفقًا لماك ميلان، كان الخلل موجودًا منذ 10 سنوات على الأقل؛ إذ لاحظ مختصون سلوكًا غير معتاد، لكنهم لم يتمكنوا من إيجاد طريقة لاستغلاله لتشغيل برمجيات على حاسوب من دون تصريح.

وأوضح كاديس أن مجرد زيارة موقع يستخدم PHP لا تعني بالضرورة تعرض جهاز الزائر للاختراق. ويكمن الخطر، بحسب قوله، في إمكان استغلال موقع يحتفظ ببيانات المستخدمين، مثل متجر إلكتروني أو منصة حجز، للحصول على أسمائهم وعناوين بريدهم الإلكتروني وعناوينهم الفعلية وتواريخ ميلادهم. وشدد على أن وجود ثغرة في موقع لا يعني وقوع اختراق أو أنه سيقع حتمًا. وقال إنه لا داعي للتوقف عن التصفح أو التسوق عبر الإنترنت، لكنه دعا المستخدمين إلى مزيد من الحذر من الرسائل المشبوهة، لأن نوع البيانات التي ربما سُرقت والمواقع المعنية لم يتضحا.

وقال أندريس غيريرو-سايدي، نائب رئيس أبحاث الاستخبارات والأمن في شركة سنتينل وان، إن الواقعة تُظهر كيف يسرّع الذكاء الاصطناعي عمل الباحثين في اكتشاف الثغرات، ويعزز في الوقت نفسه قدرة المهاجمين على استغلالها. وأشار إلى أهمية الوقت الفاصل بين اكتشاف الثغرة وإصدار إصلاح لها، وكذلك الفترة التي تلي إتاحة الإصلاح وقبل تطبيقه، إذ قد يستغل المهاجمون الثغرة خلالها.

وفي منشور على منصة إكس، شجّع قسم التهديدات السيبرانية في مكتب التحقيقات الفيدرالي الأمريكي أي مؤسسة لا تستطيع تحديث مواقعها فورًا على إيقافها مؤقتًا. وأكدت مؤسسة PHP ضرورة التحديث الآن لمن يستخدم اللغة، مشيرة إلى أن إعلانها يتضمن تفاصيل تقنية عن الثغرتين وطرق استغلالهما وتعليمات تحديث الأنظمة.