ثغرات PHP تهدد ملايين المواقع وضرورة التحديث الفوري

إذا كان موقعك يعمل على WordPress أو Drupal، فالتحذير الذي صدر هذا الأسبوع يعنيك حتى لو لم تسمع بلغة PHP من قبل. قيل لأصحاب المواقع في بداية الأسبوع إن عليهم ترقيع مواقعهم المبنية بهذه اللغة فوراً، أو إخراجها من الخدمة. وقد خرجت بعض المواقع فعلاً من الخدمة إلى أن جرى إصلاحها.

ناقش الموضوع كلٌّ من كيرستن كوروسيك وشون أوكين وأنتوني ها في بودكاست Equity التابع لموقع TechCrunch. ما قالوه أقرب إلى جرس إنذار منه إلى خبر تقني عابر، وهو يطرح سؤالاً غير مريح عن أمان البرمجيات المفتوحة المصدر التي يقوم عليها جزء كبير من الويب.

ما هي ثغرات PHP، ومن اكتشفها؟

PHP لغة برمجة مفتوحة المصدر استُخدمت في بناء جزء كبير من الويب. واسمها الرسمي، كما أوضحت كوروسيك، هو Hypertext Preprocessor. وهي المكوّن الأساسي في أنظمة إدارة المحتوى المستخدمة في WordPress وDrupal. وتقدّر كوروسيك أن هذين النظامين يعملان على نحو 70% من المواقع، وأن الثغرات تمسّ عشرات الملايين منها.

تقول كوروسيك إن كثيرين لا يعلمون أصلاً أن مواقعهم تعتمد على PHP: «كثيرون لا يدركون حتى أنّ مواقعهم تستخدم PHP، وهي كما ذكرتَ لغة برمجة مفتوحة المصدر عمرها عقود. ولمن لا يعرف، فإنّ Hypertext Preprocessor هو الاسم الرسمي، وهي المكوّن الأساسي وراء أنظمة إدارة المحتوى المستخدمة في WordPress وDrupal، أي نحو 70% من المواقع. نحن نتحدث عن عشرات الملايين من المواقع. فما لفت نظري هو الحجم».

أما أنتوني ها فيلفت إلى أن الثغرة ليست جديدة: «هناك أمور كثيرة لافتة في هذه القصة. أحدها أنّ هذه الثغرة، بحسب فهمي على الأقل، ليست جديدة. إنها موجودة في PHP منذ عقود. وقد استُخدمت PHP لغةً لبناء جزء كبير من الويب، فبقيت الثغرة هناك عقوداً دون أن يعرف بها أحد. ما حدث، في جوهره، أنّ شركات الذكاء الاصطناعي الكبرى، ومنها Wiz التي صارت مملوكة لـGoogle، تمكّنت من اكتشاف هذه الثغرات باستخدام نماذج اللغة الكبيرة. ملاحظة من المصدر: أخطأتُ في هذه النقطة؛ فقد اكتشف الثغرات باحثون بشر شاركوا في مبادرة Hack the Planet التي تديرها OpenAI وWiz، لكنهم استخدموا الذكاء الاصطناعي لاستغلال الخلل».

هذا التصحيح مهم، وقد أوردته المادة الأصلية نفسها. فالذي كشف الثغرات باحثون بشر في مبادرة Hack the Planet، والذكاء الاصطناعي دخل في مرحلة استغلال الخلل. وتجد تفاصيل بحثية عن الثغرة، التي يُشار إليها باسم PHP2Shell، في هذه الصفحة.

لماذا قيل للناس «رقّعوا أو أطفئوا»؟

يشرح ها المعادلة التي دفعت إلى هذا الذعر: «أظنّ أنّ جزءاً من الحسابات هو أننا يجب أن نُرقّع هذه الثغرة، فإذا كان بالإمكان العثور عليها باستخدام نماذج اللغة الكبيرة، فبوسع غيرنا أن يفعل ذلك أيضاً. لكنّ الطريقة الوحيدة لإيصال الرقعة إلى الناس هي الإعلان عن الثغرة. وهذا يخلق وضعاً مذعوراً، إذ يُقال: حسناً، هذه الثغرة موجودة منذ عقود، ويجب أن ترقّعوا فوراً، وإن لم تستطيعوا فأوقفوا موقعكم. إنها بهذه الخطورة».

في الأعراف الأمنية المعتادة، يُبلَّغ صاحب البرنامج بالثغرة سرّاً، وهو ما يُعرف بالإفصاح المسؤول. لكن شون أوكين يرى أن هذا النموذج لا ينفع هنا. يقول: «أظنّ أنّ أنتوني أصاب في نقطته. رأيتُ كثيرين غير راضين عن طريقة الإفصاح، وعن شيء من التباهي بدا أنّ OpenAI مارسته في تدوينتها حول الموضوع. كما يبدو أنّ بعض الأشخاص سبقوا موعد رفع الحظر عن النشر، فأطلقوا سباقاً بين القراصنة. أظنّ أنّ مات برينس، الرئيس التنفيذي لـCloudflare، كتب أصلاً أنه رأى المحاولات تتصاعد إلى ملايين محاولات الاختراق عبر PHP2Shell».

وبرينس الذي يقصده أوكين هو Matthew Prince، وهذا منشوره. ويتابع أوكين: «والمعتاد في الأمن السيبراني أنك إذا كنت تختبر برمجيات شركة ما، حتى لو كانت برمجية أساسية تُشغّل حواسيب كثيرة أو أجزاءً من الإنترنت، فبوسعك أن تذهب إلى الشركة وتُبلغها فيبقى الأمر داخل تلك الدائرة. لكن حين نتحدث عن شيء بهذا العمق وهذه الأساسية، فلا يمكنك أن تخبر الجميع بهدوء. ربما أمكن ذلك لو كان الذكاء الاصطناعي متقدماً بما يكفي وأمكنك تكليف مليار وكيل بإرسال رسالة إلى كل شخص يتحكم في جزء من موقع ما. نحن الآن نأسف على أيام كان فيها مديرو المواقع (webmasters) سهلي التحديد، وربما كان ذلك سيحلّ المشكلة إلى حدّ ما. لكن لا توجد طريقة سهلة لفعل ذلك. أظنّ أنّ هذه بداية جولات كثيرة من الأخذ والرد، وحدودٌ جديدة بالتأكيد في الأمن السيبراني».

وبحسب أوكين، فإن ما جرى بعد الإعلان جمع أمرين متوازيين. فقد كلّفت مختبرات وشركات مثل Google وOpenAI أشخاصاً بالبحث عن الثغرات، ومنها ثغرة PHP. وفي المقابل سارع آخرون إلى استغلالها لاختراق المواقع. وقد أخرجت حكومات مواقع من الخدمة، وتوقفت مواقع شعبية لفترة وجيزة لإصلاح الخلل.

هل بدأت الهجمات قبل الإعلان؟

تشير الوقائع إلى ذلك. فقد نشرت Amazon تدوينة، وقد وردت في تقريرها الأمني محاولات لاستغلال الثغرة قبل الإعلان العلني عنها. وتشغّل الشركة شبكة مصائد خداعية (Honeypot) تُستخدم فخّاً لرصد محاولات الاستغلال.

تقول كوروسيك: «منشور مات برينس كان في نظري كاشفاً ومخيفاً جداً. وأيضاً، لا أدري إن كنتما قد رأيتما ذلك، لكنّ Amazon نشرت تدوينة هي الأخرى. هذه شركة ذات رأسمال ضخم، فلديها الأدوات والفريق لالتقاط ما يجري. إنها تشغّل في الأساس شبكة مصائد خداعية، أو طُعماً، وقد رأت فعلاً محاولات لاستغلال تلك الثغرة قبل الإعلان عنها رسمياً».

ثم تنتقل إلى مكمن القلق: «ومرة أخرى، يعود الأمر إلى هذا: لدى Amazon الأدوات ورأس المال والخبرة لمحاربة هذه الأمور. هناك مواقع كثيرة، وربما حتى مواقع حكومية، لا تحظى بهذا المستوى من الاهتمام. وهذا في رأيي الجزء المخيف حقاً».

وهنا تحديداً يصبح الأمر شأن القارئ العادي. فصاحب المدوّنة أو موقع الحي أو المؤسسة الصغيرة لا يملك فريقاً ولا شبكة مصائد خداعية.

الذكاء الاصطناعي يضاعف الخطر، فماذا نخسر؟

يضع أوكين الحادثة في سياق أوسع: «الإنترنت ينكسر من جهات عدة هذا الأسبوع، على ما يبدو. أفضل طريقة للتفكير في الأمر، لمن يأتي إليه من دون خلفية، هي هذه: كم مرة خلال السنوات العشر الماضية مرّت علينا لحظات انكسر فيها شيء أو كاد، فانتبه شخص واحد يصون مستودعاً برمجياً صغيراً كهواية أو ما شابه إلى أنّ أمراً خبيثاً يجري، وأنقذنا من انهيار البنية التحتية للإنترنت كلياً؟ الآن اضرب ذلك في مليار، حين يملك الناس لا برمجيات متقدمة للغاية فحسب، في صورة نماذج اللغة الكبيرة التي يستخدمها الجميع، بل القدرة أيضاً على تكليفها بالخروج والتنفيذ بنفسها، عبر وكلاء ذكاء اصطناعي لا همّ لهم سوى إنجاز تلك المهام».

ثم يضيف: «نشهد هذا الأسبوع توازناً بين أمرين. الأول أنّ عدداً من المختبرات والشركات مثل Google وOpenAI كلّفت أشخاصاً بالبحث عن ثغرات كثيرة، ومنها ثغرة PHP. والثاني أنّ كثيرين يبدو أنهم يسارعون إلى استغلال تلك الثغرات لمحاولة اختراق المواقع. فهناك حكومات تُخرج مواقع من الخدمة، ومواقع شديدة الشعبية تتوقف لوقت قصير كي تُصلح الثغرة. هذه لحظة حساب حقيقية (a real reckoning moment)، سنكتشف فيها الخطر السلبي لبناء هذا القدر الكبير من الإنترنت على تقنية مفتوحة المصدر مثل PHP. فحين تنزل إلى عظم الإنترنت، تجد أنه مشدود بالغراء والأحلام».

أما كوروسيك فتخشى من أمرين. الأول أن هذه البداية فقط: «أول ما خطر لي أمران. الأول أنّ هذه مجرد البداية. فما البرمجيات القديمة الرديئة الأخرى، المعمّرة منذ عقود، التي ستُستغل؟».

والثاني خسارة محتملة لا تتعلق بالاختراق. تقول: «والثاني شيء ذكره موقع 404 Media، الذي نشر تحليلاً ممتازاً، وهو تعفّن الروابط (link rot). فكثير من الناس والشركات والحكومات، وربما موقع الحي الصغير ذاك، يغلقون هذه المواقع. وسنشهد قدراً هائلاً من تعفّن الروابط، ومن المواقع التي ربما كانت تحمل قطعة صغيرة من التاريخ ولن يعود الوصول إليها ممكناً، بدلاً من أن تُرقَّع».

وعن الجانب الأمني تقول: «وهناك موظفون في مجال الذكاء الاصطناعي سيأخذون هذا على الأرجح إلى مستوى أبعد من التشاؤم الاستعدادي (prepper doom)، لأنك تستطيع أن ترى كيف يمكن استغلال البنوك، ومع مخاوف البيانات والخصوصية، يبدو الأمر أكبر بكثير مما نستطيع إصلاحه الآن. لذلك يهمّني أن أرى أمرين: إلى أي حدّ سيبلغ تطرّف سلوك الناس، وأيضاً هل ستظهر شركات ناشئة جديدة نتيجة لهذا، أم سنتجه إلى بعض الأدوات المفتوحة المصدر التي تقدّمها شركات مثل Nvidia لبناء طبقات الحماية هذه».

ما العمل الآن؟

الجواب العملي مما قيل هو: إن كان موقعك مبنياً على PHP، فرقّعه فوراً، وإن عجزت فأوقفه. لكن القصة لا تنتهي عند موقعك. فالثغرة بقيت عقوداً بلا اكتشاف، ويشير كلام المشاركين إلى أن مثلها قد يكون موجوداً في برمجيات قديمة أخرى. ويبقى سؤال كوروسيك معلّقاً: هل تظهر شركات ناشئة أو أدوات أمنية مفتوحة المصدر تسدّ الفجوة، أم يبقى الويب الذي نعرفه مشدوداً، كما قال أوكين، بالغراء والأحلام؟