بنیاد PHP اعتراف می‌کند که «شکست ساختاری» باعث تأخیر در رفع آسیب‌پذیری امنیتی حیاتی شده است

بنیاد PHP اذعان کرده است که تردید و کمبود منابع، رفع آسیب‌پذیری امنیتی حیاتی که اولین‌بار در سال ۲۰۲۴ شناسایی شد را به تأخیر انداخته و این واکنش متوقف‌شده را «شکست ساختاری» خوانده است.

سازمان‌های دولتی و دیگر نهادها در سراسر جهان در روز چهارشنبه به‌عنوان احتیاط وب‌سایت‌های خود را غیرفعال کردند، درحالی‌که PHP نسخه‌های اضطراری برای دو آسیب‌پذیری حیاتی مرتبط منتشر کرد. این آسیب‌پذیری‌ها امکان اجرای کد توسط مهاجمان غیرمجاز بدون نیاز به ورود به سیستم را فراهم می‌کند.

PHP زبان برنامه‌نویسی است که به‌طور گسترده‌ای برای اجرای وب‌سایت‌ها و برنامه‌های تحت وب، از جمله سیستم‌های مدیریت محتوا استفاده می‌شود.

در پستی وبلاگی پس از انتشار رفع‌اشکال، بنیاد توضیح داد که توسعه‌دهندگانش نشانه‌های این آسیب‌پذیری را اولین‌بار در سال ۲۰۲۴ کشف کردند، اما در یافتن راه‌حلی بدون اختلال در اکوسیستم گسترده‌ای از نرم‌افزارهای مبتنی بر PHP با مشکل مواجه شدند.

بنیاد اعلام کرد: «ترکیب این موضوع با عدم وجود مسیر شناخته‌شده‌ای برای اجرای کد از راه دور و تعداد کم توسعه‌دهندگان هسته‌ای با دانش عمیق لازم از موتور PHP که بار مسئولیت‌های زیادی داشتند، منجر به متوقف‌شدن و دوباره‌شروع‌شدن کار بر روی رفع‌اشکال در طول ماه‌ها شد.»

«ما این را انکار نمی‌کنیم: این تأخیر یک شکست ساختاری بود که هم ناشی از فرآیند تصمیم‌گیری تیم امنیتی و هم کمبود منابع آن بود.»

در ۱۱ اوت، پس از گزارش مستقل شرکت امنیتی Calif و OpenAI دربارهٔ همین مشکل اساسی، دوباره به بنیاد اشاره شد؛ Calif نیز اجرای کد از راه دور بدون شرط را نشان داد که این آسیب‌پذیری را به اولویت بالای امنیتی تبدیل کرد.

وب‌سایت‌ها در پی ترس از امنیت PHP تاریک شدند

این اختلال در سراسر جهان گسترده شد، زیرا توسعه‌دهندگان وب‌سایت‌ها را قبل از نصب رفع‌اشکال‌های اضطراری قطع کردند.

هلند سرویس هویت دیجیتال خود را تعطیل کرد و مرکز امنیت سایبری ملی این کشور نیز وب‌سایت خود را غیرفعال کرد.

ارائه‌دهنده خدمات فناوری اطلاعات دولت فنلاند (Valtori) سرویس‌های عمومی دولتی را قطع کرد، درحالی‌که وزارت کشور فرانسه وب‌سایت‌های پrefecture را موقتاً خاموش کرد. بر اساس گزارش رویترز، ارائه‌دهنده فدرال فناوری اطلاعات آلمان (ITZBund) نیز چندین وب‌سایت را غیرفعال کرد.

در استرالیا، مدیریت سیگنال‌های استرالیا (ASD) تأیید کرد که وب‌سایت امنیت سایبری آن (cyber.gov.au) از جمله وب‌سایت‌های دولتی تحت تأثیر این مسئله PHP بوده است.

سانائه تاکائیچی، نخست‌وزیر ژاپن، در شبکه اجتماعی X از اپراتوران وب‌سایت‌ها خواست تا سریع‌ترین اقدام ممکن برای اعمال رفع‌اشکال را انجام دهند. او در پستی اشاره کرد که در صورت عدم امکان اعمال فوری رفع‌اشکال، می‌توان عملکرد وب‌سایت را موقتاً متوقف کرد تا خطر کاهش یابد.

بنیاد ویکی‌مدیا که ویکی‌پدیا را اداره می‌کند، اعلام کرد که به‌عنوان احتیاط برخی از سرویس‌های پشتیبانی را از دسترس خارج کرده است، از جمله Toolforge و Cloud VPS که ابزارها و پروژه‌های مورد استفاده توسعه‌دهندگان داوطلب را میزبانی می‌کنند؛ این امر منجر به خاموشی بخشی از ویکی‌پدیا در روز چهارشنبه شد.

شرکت امنیتی بلاکچین SlowMist اعلام کرد که سرویس MistEye آن بررسی استفاده از PHP را در صنعت رمزارز انجام داده و صرافی‌ها، پلتفرم‌های DeFi و ارائه‌دهندگان کیف‌پول را به بررسی معرض خطر بودن و ارتقای سیستم‌ها تشویق کرده است. این شرکت در میان ۱۴۸۸ دامنه ارزیابی‌شده، ۷۹۳ دامنه با امضای مستقیم PHP شناسایی کرده است.

Intersect، سازمان عضویتی که توسعه و حکمرانی بلاکچین Cardano را پشتیبانی می‌کند، اعلام کرد که به‌دلیل ارزیابی معرض خطر بودن احتمالی، بخش اعضا را موقتاً از دسترس خارج کرده است. این صفحه هنوز در زمان نگارش این متن غیرفعال است.

جف لونگلهوفر، رئیس امنیت شرکت کوینبیس، گفت که شرکت هیچ شواهدی از قرار گرفتن نمونه‌های PHP در معرض خطر نیافته است.

«هر زمان که درباره آسیب‌پذیری‌هایی از این دست اطلاع می‌یابیم، به‌طور خودکار بررسی جامعی انجام می‌دهیم تا اطمینان حاصل کنیم همه چیز تا حد امکان ایمن است. همچنین برای اطمینان بیشتر با تأمین‌کنندگان شخص ثالث خود همکاری می‌کنیم.»

شرکت زیرساخت دارایی‌های دیجیتال بیت‌گو نیز اعلام کرد که پلتفرم آن تحت تأثیر آسیب‌پذیری PHP قرار نگرفته است.

در همین حال، چانگ‌پِنگ ژائو، هم‌بنیان‌گذار بایننس، روز سه‌شنبه به کاربران اینترنت هشدار داد که در روزهای آینده «بسیار مراقب» باشند و هنگام بازدید از هر وب‌سایتی احتیاط کنند، زیرا برخی مدیران وب ممکن است به‌روزرسانی‌های امنیتی را اعمال نکرده باشند.

اوپن‌ای‌آی یک مهارت کُدِکس منتشر کرده است تا به اپراتورهای وب‌سایت‌ها کمک کند نسخه‌های آسیب‌پذیر PHP را بررسی کرده و به‌روزرسانی‌های مناسب را شناسایی کنند؛ این ابزار از طریق گیت‌هاب قابل دسترسی است.

تیم امنیت PHP اعلام کرد که در زمان افشای عمومی این آسیب‌پذیری، هیچ حمله عملیاتی شناسایی نشده است.

مجله: ۵ جایگزین لجر برای ذخیره‌سازی بیت‌کوین شما