في منشور مدونة بعد إصدار التصحيح، شرحت المؤسسة كيف اكتشف مطوروها أولى مؤشرات الثغرة في عام 2024، لكنهم واجهوا صعوبة في التوصل إلى حل من دون تعطيل النظام البيئي الكبير للبرمجيات المبنية باستخدام PHP.
«إلى جانب عدم وجود مسار معروف لتنفيذ التعليمات البرمجية عن بُعد، وانشغال الفريق الصغير من المطورين الأساسيين ذوي المعرفة العميقة اللازمة بالمحرك بمسؤوليات عديدة، تسببت عملية اتخاذ القرار هذه في تعثر العمل على الإصلاح وبدئه من جديد مرارًا على مدى أشهر»، قالت المؤسسة.
«لن نتظاهر بغير ذلك: كان التأخير فشلًا هيكليًا، سبّبته عملية اتخاذ القرار لدى فريق الأمن ونقص موارده على حد سواء».
أُعيد لفت انتباه المؤسسة إلى الثغرة في 11 أغسطس، بعد أن أبلغت شركة الأمن Calif وOpenAI كلٌّ منهما على نحو مستقل عن المشكلة الأساسية نفسها، مع إثبات Calif إمكانية تنفيذ تعليمات برمجية عن بُعد دون شروط، ما جعلها أولوية أمنية قصوى.
مواقع إلكترونية تخرج عن الخدمة وسط مخاوف أمنية بشأن PHP
امتد الاضطراب حول العالم، إذ فصل المطورون المواقع الإلكترونية أثناء استعدادهم لتثبيت الإصلاحات الطارئة.
أغلقت هولندا خدمة هويتها الرقمية، كما أخرج المركز الوطني للأمن السيبراني في البلاد موقعه عن الخدمة.
فصل مزود تكنولوجيا المعلومات الحكومي في فنلندا Valtori خدمات الويب العامة الحكومية، بينما أخرجت وزارة الداخلية الفرنسية مواقع المحافظات عن الخدمة مؤقتًا. كما عطّل مزود تكنولوجيا المعلومات الاتحادي الألماني ITZBund عدة مواقع وأوقف ، وفقًا لرويترز.
في أستراليا، أقرت مديرية الإشارات الأسترالية بأن موقعها للأمن السيبراني، cyber.gov.au، كان من بين المواقع الحكومية المتأثرة بمشكلة PHP.
دعا رئيس الوزراء الياباني ساناي تاكائيتشي مشغّلي المواقع الإلكترونية عبر منصة X إلى الاستعداد لتطبيق التصحيح في أسرع وقت ممكن. وفي منشور، قالت إن تعليق وظائف الموقع مؤقتًا قد يقلل من المخاطر إذا تعذّر تطبيق التصحيح فورًا.
قالت مؤسسة ويكيميديا، التي تدير ويكيبيديا، إنها عطّلت بعض الخدمات الداعمة مؤقتًا كإجراء احترازي، بما في ذلك Toolforge وCloud VPS، اللذان يستضيفان أدوات ومشاريع يستخدمها مطوّرون متطوعون، ما أدى إلى تعطّل أجزاء من ويكيبيديا يوم الأربعاء.
قالت شركة أمن البلوك تشين SlowMist إن خدمة MistEye التابعة لها مسحت استخدام PHP في قطاع العملات المشفرة، وحثت منصات التداول ومنصات التمويل اللامركزي ومزودي المحافظ على مراجعة مدى تعرضهم للخطر وإجراء الترقية. وحددت 793 نطاقًا يحمل بصمات PHP مباشرة من بين 1,488 نطاقًا جرى تقييمها.
قالت Intersect، وهي منظمة عضوية تدعم تطوير البلوك تشين وحوكمته في كاردانو، إنها عطّلت مؤقتًا منطقة الأعضاء التابعة لها وقالت بينما كانت تقيّم احتمال التعرّض. ولا تزال الصفحة غير متاحة وقت كتابة هذا التقرير.
ذات صلة: عمالقة التكنولوجيا يسارعون إلى حظر 8 شهادات من eMudhra قد تتيح إنشاء مواقع مزيفة
قال كبير مسؤولي أمن المعلومات في كوينبيس، جيف لونغهوفر، قال إن الشركة لم تجد أي دليل على وجود حالات PHP مكشوفة.
«كلما سمعنا عن ثغرات من هذا النوع، نجري تلقائيًا فحصًا شاملًا للتأكد من أن كل شيء آمن قدر الإمكان. ونعمل أيضًا مع موردينا الخارجيين للحصول على ضمان إضافي».
قالت أيضًا شركة BitGo للبنية التحتية للأصول الرقمية إن منصتها لم تتأثر بثغرة PHP.
في غضون ذلك، حذّر المؤسس المشارك لمنصة Binance، تشانغبينغ تشاو، مستخدمي الإنترنت يوم الأربعاء من توخي «حذر إضافي» عند زيارة أي موقع إلكتروني خلال الأيام القليلة المقبلة، إذ قد لا يكون بعض مشرفي المواقع قد حدّثوا تصحيحات الأمان لديهم بعد.حذّر مستخدمي الإنترنت يوم الأربعاء من توخي «حذر إضافي» عند زيارة أي موقع إلكتروني خلال الأيام القليلة المقبلة، إذ قد لا يكون بعض مشرفي المواقع قد حدّثوا تصحيحات الأمان لديهم بعد.
أصدرت OpenAI مهارة Codex لمساعدة مشغلي المواقع على التحقق من إصدارات PHP التي قد تكون معرضة للخطر وتحديد التحديثات المنطبقة، ويمكن الوصول إليها عبر GitHub.
قال فريق أمن PHP إنه لم يحدد أي استغلالات فعالة وقت الكشف العلني عن الثغرة.
مجلة: 5 بدائل لـ Ledger لتخزين بيتكوين
cointelegraph.com.ar
