لقد أكدت وكالة الأمن السيبراني والبنية التحتية الأمريكية (CISA) أن القراصنة يستغلون بنشاط ثغرتين أمنيتين خطيرتين في برنامج PHP الويب المستخدم على نطاق واسع، وأمرت الوكالة الوكالات المدنية الفيدرالية داخل الحكومة الأمريكية بإصلاح أنظمتها خلال الثلاثة أيام القادمة.
قبل أقل من أسبوع من إصدار هذا التصحيح الطارئ، أصدر مطورو لغة البرمجة الويب PHP منذ فترة طويلة تصحيحات لهذه الثغرتين. تسمح هذه الثغرات للقراصنة بالاختراق عن بُعد عبر الإنترنت دون الحاجة إلى كلمة مرور. ووفقًا للتقارير، يتم استخدام برنامج PHP من قبل حوالي 70٪ من الخوادم الموجهة للويب، مما يعرض عددًا كبيرًا من المواقع والتطبيقات للخطر. وقد دفع شدة هذه الثغرات بعض الحكومات والشركات الكبرى إلى إيقاف تشغيل مواقعها لإجراء التصحيحات.
على الرغم من أن هذه الثغرات تم تصنيفها على أنها "خطيرة"، مما يعني أنها قد تسبب أضرارًا كبيرة إذا تم استغلالها، إلا أن باحثي الأمن أشاروا إلى أن تطوير أدوات هجوم قابلة للاستخدام في البداية لم يكن سهلاً—لكنه ليس مستحيلاً. الآن، مع تأكيد وجود هجمات فعلية، زاد الضغط على مختلف المؤسسات لتصحيح أنظمتها في أسرع وقت ممكن لمنع الاختراقات الضارة وانقطاع الخدمات وتسريب البيانات.
لم تقدم وكالة أمن البنية التحتية والدفاع الإلكتروني (CISA) في بيانها يوم الاثنين تفاصيل حول من يستغل هذه الثغرات، لكن الباحثين الأمنيين أشاروا قبل نشر البيان مباشرة إلى أنهم وجدوا أدلة على استغلال ثغرات PHP.
تُعرف هذه الثغرات باسم PHP2Shell، وهي تستغل عيوبًا في البرنامج لم تُكتشف لسنوات عديدة. تم اكتشافها لأول مرة قبل عامين، لكن المؤسسة الخيرية المسؤولة عن صيانة البرنامج قالت آنذاك إن المخترقين لا يمتلكون طريقة عملية لاستغلالها، لذا لم يتم إصلاحها. حتى أوائل هذا العام، عندما وجد باحثون من شركة الأمن Calif، بمساعدة نموذج ذكاء اصطناعي، طريقة لاستغلال هاتين الثغرتين الطويلتين المختبئتين.
هذه الثغرتان في PHP ليستا سوى جزء صغير من عدد لا يحصى من الثغرات التي لم تُكتشف بعد، أو تم تأجيل أولويتها لسنوات؛ ومع تحسن قدرات نماذج الذكاء الاصطناعي على اكتشاف واستغلال الثغرات، بما في ذلك من خلال ربط عيوب متعددة، أصبحت هذه الثغرات اليوم تشكل مخاطر.
PHP هو أحد التقنيات القديمة العديدة التي تدعم عمل الإنترنت والتكنولوجيا الحديثة، لكنها تعاني منذ سنوات من نقص في الموارد والتمويل، مما يجعل من الصعب على مشاريع مفتوحة المصدر مثل PHP تحمّل تكاليف المراجعة الأمنية التي كان يمكنها اكتشاف الثغرات في وقت سابق.