PHP تُسرّع إصلاح ثغرة عمرها 14 عامًا بيوم واحد بعد تسريب

أصدر مشرفو PHP يوم الأربعاء، قبل الموعد بيوم واحد، تصحيحات طارئة لثغرتين حرجتين بعد تسرب تفاصيلهما عبر الإنترنت. تتيح الثغرات الأمنية للمهاجمين اختراق الخوادم التي تعمل بنظام PHP، الذي يدعم حوالي 70% من المواقع باستخدام لغة جانب خادم معروفة.

كان الإفصاح المنسق مخططاً له في 22 أكتوبر، وفقاً لـ غريغ بروكمان، رئيس شركة OpenAI. بدأت التسريبات قبل هذا التاريخ، لذا قرر مشرفو PHP تقديم تاريخ الإصدار إلى 21 أكتوبر.

قال بروكمان: «أنا ممتن لأن التحالف نجح في الحصول على شهرين كاملين للتحضير». وأضاف أن تسريباً حدث قبل وقت طويل من جاهزية التصحيح «كان سيكون مؤثراً للغاية».

أفاد الباحث الأمني الأول في Detectify، جوفيان جارديم، بأن الثغرات أصبحت علنية قبل إصدار التصحيح. وأشار إلى أن المهاجمين والمدافعين بدأوا العمل في نفس الوقت.

ثغرتان تحملان التقييم 9.2 من أصل 10 تتيحان تنفيذ الأكواد عن بُعد

الثغرتان هما CVE-2026-109618 وCVE-2026-109619، وكلاهما يحمل درجة 9.2 من أصل 10. وتُصنف كلتا ثغرتي PHP على أنهما حرجتان وتسمحان بتنفيذ الأكواد عن بُعد على الخوادم غير المصححة.

تُعرف الثغرات باسم «PHP2Shell». وقال بروكمان إن الثغرة كانت موجودة في PHP لمدة 14 عاماً.

وأضاف أنه تم إصدار نسخة محدودة في عام 2024 لكنها «لم تُعتبر ذات أهمية كبيرة في ذلك الوقت».

أصدر فريق أمان PHP تحذيره مساء يوم الثلاثاء. وبدأت الإصلاحات تنتشر بعد الساعة 10 صباحاً بتوقيت شرق الولايات المتحدة يوم الأربعاء.

فنلندا وهولندا وفرنسا تعزل مواقع حكومية عن الإنترنت

قام المسؤولون باتخاذ إجراءات. وتم إيقاف مئات المواقع عن العمل يوم الأربعاء.

أوقفت فنلندا وهولندا وفرنسا مواقعها الحكومية احتياطياً.

كما أصدرت الاتحاد الأوروبي والولايات المتحدة وألمانيا واليابان وأستراليا والمملكة المتحدة تحذيرات محلية. كما قامت نينتندو ومنظمات كبيرة أخرى بإيقاف خدماتها لتصحيح الثغرات.

تقول دان كنيخت، الرئيس التنفيذي للتقنية في كلاودفلير، إن الشركة تلاحظ هجمات بالفعل، وقد أرسلت حلولاً مؤقتة لبعض العملاء. وقال جاك نوت، رئيس استخبارات التهديدات في واتش تاور، إن فريقه يتعقب حالات الاستغلال الفعلية باستخدام أدوات مفاهيم إثبات تم بناؤها بالذكاء الاصطناعي.

قال نوت إن هذه الجهود لم تؤتي ثمارها بعد، لكنه لا يتوقع أن يستمر ذلك.

قالت إن OpenAI نماذج اكتشفت الأخطاء أولاً. استخدمت شركة الأمن Calif GPT-5.6 Sol ضمن برنامج "Patch the Planet" الذي تشغله OpenAI، وكشفت عن نسخة واحدة في أغسطس.

قال بروكمان إن فريق عمل OpenAI نفسه اكتشف نسخة أكثر اكتمالاً في سبتمبر. واكتشفت شركة Wiz وأبلغت عن كلتا الثغرتين بشكل مستقل.

أنفقت OpenAI شهرين في قيادة تحالف من المشرفين والباحثين ومقدمي خدمات الأمن، بما في ذلك Wiz وCloudflare، لاختبار الإصلاحات وإعداد التوجيهات، حسبما ذكرت الشركة. كما شاركت مع مكتب المدير الوطني للأمن السيبراني ووكالة CISA.

التزمت الشركة بتوفير 1 مليار دولار للوصول المدعوم إلى Daybreak للمنظمات ذات الميزانيات الأمنية الضيقة التي تحمي الخدمات الحرجة. وقالت OpenAI إن القدرات نفسها التي اكتشفت الثغرات يمكنها أيضاً مساعدة المهاجمين في بناء استغلالات بسرعة.

يريد Brockman أن تقوم الحكومات والمدافعون المصرح لهم الآخرون بمسح الإنترنت بحثاً عن خوادم مكشوفة. وفي الحالات القصوى، قال إنه ينبغي لهم إجراء تصحيحات عن بُعد لتلك الخوادم.

أيضاً، أوقف عاملان من OpenAI مراقبات عدم المحاذاة الداخلية أثناء عملهما على مهام البرمجة، وفقاً لما ذكرته OpenAI يوم الثلاثاء، كما أفاد Cryptopolitan.

قال Jardim إن حوالي نصف مواقع PHP تعمل بإصدارات أقدم، ولا تتلقى سوى الإصدارات 8.2 وما بعدها إصدارات رسمية. وقال فريق أمان PHP: «لا تتلقى الإصدارات 8.1 والإصدارات الأقدم تحديثات من مشروع PHP».

نشر الفريق نسخاً مصغرة من الشفرة المصدرية (backports) لـ PHP 7.4 و8.0 و8.1.

الخطوة الأولى هي العثور على جميع الأماكن التي يعمل فيها PHP، لأنه غالباً ما يختبئ تحت أنظمة إدارة المحتوى ومنصات الاستضافة، وفقاً لما ذكره دون سميث من Sophos. وأشار إلى أنه يجب إزالة أي نظام لا يمكن تصحيحه من الإنترنت حتى يتم تأمينه.