PHP چیست و چرا آسیب‌پذیری‌های آن به یک هشدار امنیت سایبری جهانی منجر شد؟
بیش از یک دهه، نقص‌های امنیتی جدی در فناوری زیربنایی بخش بزرگی از اینترنت شناسایی نشده بودند.
این بار هوش مصنوعی به شناسایی آن‌ها کمک کرد و در نتیجه، هشدار امنیت سایبری گسترده‌ای در سراسر جهان به صدا درآمد.
پژوهشگرانی که در شناسایی آسیب‌پذیری‌های PHP نقش داشتند، به پلتفرم‌هایی که از این زبان برنامه‌نویسی محبوب سمت سرور استفاده می‌کنند هشدار دادند که ممکن است در معرض حملات سایبری قرار بگیرند. PHP دهه‌هاست که در توسعه وب کاربرد دارد.
دولت‌ها و سازمان‌های امنیت سایبری برای مهار پیامدهای این اتفاق دست‌به‌کار شدند و از صاحبان وب‌سایت‌ها خواستند بررسی کنند که آیا سایت‌هایشان تحت تأثیر این آسیب‌پذیری قرار گرفته است یا خیر. در صورت تأیید، باید به‌روزرسانی‌های امنیتی را برای رفع مشکل نصب کنند یا در صورت لزوم، سایت خود را موقتاً از دسترس خارج کنند.
تا این لحظه گزارشی از بهره‌برداری موفقیت‌آمیز از این نقص امنیتی که php2shell نام گرفته، منتشر نشده است.
با این حال، از زمان آشکار شدن این مشکلات، اختلال در وب‌سایت‌ها و سرویس‌های مختلف همچنان در نقاط گوناگون جهان ادامه داشته است.
PHP چیست؟
ممکن است بیشتر افراد نام PHP را نشنیده باشند، اما احتمالاً هر روز با وب‌سایت‌ها و سرویس‌هایی تعامل دارند که از این زبان استفاده می‌کنند.
PHP مخفف عبارت PHP: Hypertext Preprocessor است؛ یک زبان برنامه‌نویسی متن‌باز در سمت Back-end که روی وب‌سرور اجرا می‌شود.
PHP در اوایل دهه ۱۹۹۰ با هدف ارائه صفحات وب و اپلیکیشن‌های پویا توسعه داده شد و امروزه همچنان زیرساخت بسیاری از پلتفرم‌ها را تأمین می‌کند؛ از جمله Wikipedia، فروشگاه‌های اینترنتی و WordPress که سیستم مدیریت محتوای مورد استفاده در ساخت بسیاری از وب‌سایت‌هاست.
وقتی از یک وب‌سایت بازدید می‌کنید، کدهای PHP داده‌ها را جمع‌آوری می‌کنند و آن‌ها را به صفحه‌ای تبدیل می‌کنند که می‌توانید در مرورگر خود بخوانید.
از PHP همچنین برای توسعه ابزارهایی استفاده شده است که فرایند ساخت اپلیکیشن‌های وب را ساده‌تر یا سریع‌تر می‌کنند. از جمله فریم‌ورک‌های محبوب مبتنی بر PHP می‌توان به Laravel، Symfony و Drupal اشاره کرد.
بر اساس اعلام شرکت امنیت سایبری Wiz که در کشف آسیب‌پذیری‌های بحرانی PHP که این هفته آشکار شدند نقش داشت، این زبان برنامه‌نویسی زیربنای ۷۰ درصد وب‌سایت‌های جهان است.
مسئولیت نگهداری PHP بر عهده یک سازمان غیرانتفاعی به نام PHP Foundation است. این بنیاد از افراد و شرکت‌هایی تشکیل شده که به این زبان وابسته‌اند و هدفشان تضمین «تداوم توسعه و پایداری بلندمدت» آن است.
آسیب‌پذیری PHP چیست؟
گروهی از پژوهشگران و سازمان‌های فعال در حوزه امنیت سایبری این هفته از شناسایی دو آسیب‌پذیری در PHP خبر دادند و هشدار دادند که این نقص‌ها می‌توانند وب‌سایت‌های بسیاری را در سراسر اینترنت با خطر جدی مواجه کنند.
شرکت‌های امنیت سایبری Wiz و Calif اعلام کردند که این نقص‌ها در ساختار خود زبان PHP وجود دارند و نسخه‌هایی از این زبان را که طی دهه گذشته منتشر شده‌اند، تحت تأثیر قرار می‌دهند.
این باگ‌های فنی با شناسه‌های CVE-2026-109618 و CVE-2026-109619 ثبت شده‌اند و پژوهشگران شدت آن‌ها را ۹.۲ از ۱۰ ارزیابی کرده‌اند.
رایان آستین (Ryan Austin)، پژوهشگر شرکت Calif که در کشف این آسیب‌پذیری‌ها نقش داشت، به BBC گفت: «این جدی‌ترین آسیب‌پذیری‌ای است که تاکنون کشف کرده‌ام.»
شرکت Wiz در مطلبی که درباره یافته‌های خود منتشر کرد، توضیح داد که هکرها در شرایط مناسب می‌توانند از این باگ‌ها برای به‌دست گرفتن کنترل وب‌سرورهای آسیب‌پذیر و سرقت اطلاعات حساس استفاده کنند. این شرکت هشدار داد که در چنین شرایطی، تمام زیرساخت‌هایی که بر پایه PHP ساخته شده‌اند در معرض خطر قرار می‌گیرند.
پل اسپین (Paul Spain)، مدیرعامل شرکت Gorilla Cyber Security، به BBC گفت هوش مصنوعی نیز می‌تواند انجام چنین حملاتی را آسان‌تر و سریع‌تر کند.
او تخمین زد که این آسیب‌پذیری ممکن است «میلیون‌ها و میلیون‌ها» وب‌سایت را تحت تأثیر قرار دهد.
جیل اسلی (Jill Slay)، پژوهشگر امنیت سایبری در دانشگاه آدلاید، گفت اگر هکرها یا کشورها از این نقص امنیتی به‌عنوان سلاحی سایبری استفاده کنند و داده‌های خصوصی وب‌سایت‌ها را به دست آورند، پیامدهای آن «فاجعه‌بار» خواهد بود.
زویی کلاینمن: PHP معادل سایبری یک بمب خنثی‌نشده است.
چه وب‌سایت‌هایی تحت تأثیر قرار گرفته‌اند؟
هشدار امنیتی ۲۱ اکتبر باعث اختلال در سرویس‌های مختلفی در سراسر جهان شد؛ از پلتفرم‌های بازی گرفته تا درگاه‌های دولتی و انجمن‌های آنلاین.
یکی از سازمان‌های تحت تأثیر، Wikimedia بود؛ نهادی که مدیریت دانشنامه آنلاین Wikipedia را بر عهده دارد. این سازمان برای احتیاط، تعدادی از سامانه‌های خود را از دسترس خارج کرد.
دولت فنلاند، شورای شهر ادینبرو و برخی از صفحات BBC نیز تعدادی از وب‌سایت‌ها و صفحات خود را موقتاً از دسترس خارج کردند. آژانس امنیت سایبری هلند هم روز چهارشنبه وب‌سایت خود را از دسترس خارج کرد.
با وجود اینکه بسیاری از وب‌سایت‌ها تا روز پنجشنبه دوباره فعال شدند، در نقاط دیگر جهان همچنان برخی سرویس‌ها به‌طور موقت از دسترس خارج می‌شدند؛ زیرا افراد و شرکت‌ها در حال بررسی احتمال قرار گرفتن زیرساخت‌هایشان در معرض این آسیب‌پذیری بودند.
دولت بریتانیا روز پنجشنبه اعلام کرد که ممکن است برخی از سرویس‌های آن به‌طور موقت و در مقیاسی «محدود» از دسترس خارج شوند.
این دولت اعلام کرد ۳۲ وب‌سایت را به‌عنوان اقدام احتیاطی از دسترس خارج کرده است؛ هیچ‌یک از این وب‌سایت‌ها جزو سرویس‌های بزرگ و عمومی نبوده‌اند.
در فرانسه نیز شرکت مخابراتی Orange اعلام کرد که هم‌زمان با اجرای اصلاحات امنیتی، دسترسی به برخی از سرویس‌های خود را در سطح جهانی به حالت تعلیق درآورده است.
روز جمعه، رسانه‌های محلی ژاپن گزارش دادند که اپراتور مخابراتی SoftBank Corp ارسال هشدارهای اضطراری مربوط به زلزله، سونامی و سایر بلایای طبیعی را به‌طور موقت متوقف کرده است.
روزنامه Mainichi گزارش داد که از مشتریان SoftBank خواسته شده است برای دریافت هشدارهای مربوط به بلایای طبیعی، روش‌های جایگزین دیگری نیز در نظر بگیرند؛ زیرا هشدارهای تلفن همراه این اپراتور حتی در صورت وقوع زلزله‌ای شدید هم به صدا درنخواهند آمد.
گزارش‌ها حاکی از آن است که قرار است این سرویس روز دوشنبه دوباره فعال شود.
برخی کارشناسان هشدار داده‌اند که این مشکل می‌تواند وب‌سایت‌هایی را که به‌خوبی نگهداری و به‌روزرسانی نمی‌شوند، به‌ویژه وب‌سایت‌های متعلق به سازمان‌های کوچک با منابع محدود امنیتی، با خطر بیشتری مواجه کند.
سلیل کانهره (Salil Kanhere)، پژوهشگر امنیت سایبری در دانشگاه نیو ساوت ولز سیدنی (UNSW Sydney)، گفت از آنجا که جزئیات فنی این آسیب‌پذیری‌ها اکنون در دسترس عموم قرار گرفته است، احتمالاً در هفته‌های آینده تلاش‌های بیشتری برای بهره‌برداری از آن‌ها انجام خواهد شد.
پس از افشای آسیب‌پذیری‌ها چه اتفاقی افتاد؟
بنیاد PHP روز چهارشنبه وصله‌های امنیتی لازم را برای رفع آسیب‌پذیری‌هایی منتشر کرد که سال‌ها در نرم‌افزار این زبان پنهان مانده بودند.
این بنیاد اعلام کرد: «به‌شدت به تمام کاربران PHP توصیه می‌کنیم که فوراً سیستم‌های خود را به‌روزرسانی کنند.»
مقام‌ها و سازمان‌های امنیتی در سراسر جهان نیز با تکرار این هشدارها، از مدیران وب‌سایت‌ها خواستند برای ایمن‌سازی پلتفرم‌های خود اقدام کنند.
آژانس امنیت ملی آمریکا (NSA) به تمام سازمان‌هایی که از PHP استفاده می‌کنند توصیه کرد اگر نمی‌توانند بلافاصله وصله‌های امنیتی را نصب کنند، سامانه‌های خود را از دسترس خارج کنند. این آژانس هشدار داد که آسیب‌پذیری مذکور می‌تواند «مسیر مستقیمی» برای نفوذ به پایگاه داده یک سیستم فراهم کند.
این آژانس اعلام کرد: «این خطرها آن‌قدر جدی هستند که نصب فوری وصله‌های امنیتی را در تمام وزارتخانه‌ها و سازمان‌های دولت ایالات متحده ضروری می‌کنند.»
نهادهای همتای این سازمان در اتحادیه اروپا، سنگاپور و استرالیا نیز هشدارهای مشابهی صادر کرده‌اند.
سانائه تاکایچی، نخست‌وزیر ژاپن، در پست‌هایی در شبکه اجتماعی X از مردم خواست بررسی کنند که آیا وب‌سایت‌های عمومی و در دسترس آن‌ها از PHP استفاده می‌کنند یا خیر.
شرکت‌های فناوری نیز برای ایمن‌سازی سریع سامانه‌های خود دست‌به‌کار شدند.
شرکت بزرگ تجارت الکترونیک Amazon اعلام کرد چند روز پیش از انتشار عمومی خبر آسیب‌پذیری PHP، هدف چندین تلاش برای حمله قرار گرفته است؛ با این حال، وب‌سایت‌های این شرکت به‌طور عادی فعالیت می‌کردند.
متیو پرینس (Matthew Prince)، مدیر شرکت زیرساخت اینترنتی Cloudflare، نیز گفت این شرکت در ۱۰ ساعت پیش از اعلام عمومی آسیب‌پذیری‌های PHP، هزاران تلاش برای بهره‌برداری از آن‌ها را در شبکه خود شناسایی کرده است.
او در شبکه اجتماعی X نوشت: «این تعداد در ۴۵ دقیقه پس از اعلام عمومی به ده‌ها هزار مورد، ظرف دو ساعت به صدها هزار مورد و اکنون به میلیون‌ها مورد رسیده است.»
تا صبح روز جمعه، هیچ حمله موفقیت‌آمیزی گزارش نشده بود.
با این حال، کارشناسان هشدار داده‌اند که ممکن است مدتی طول بکشد تا تمام پیامدهای این آسیب‌پذیری‌ها مشخص شوند.
همچنین به مدیران بسیاری از سرویس‌هایی که ممکن است از PHP در زیرساخت خود استفاده کرده باشند، حتی خارج از حوزه توسعه وب، همچنان توصیه می‌شود سامانه‌هایشان را بررسی و در صورت نیاز به‌روزرسانی کنند.
دنیل استوارت (Daniel Stewart)، مدیر بخش اطلاعات تهدید در شرکت مدیریت ریسک جهانی LRQA، گفت: «باید به خاطر داشته باشیم که کاربرد PHP به اپلیکیشن‌های وب محدود نمی‌شود.»
او افزود: «این زبان معمولاً در رابط‌های مدیریتی تجهیزات شبکه، Load Balancerها و دستگاه‌های Embedded نیز به کار می‌رود؛ بخش‌هایی که در چنین رخدادهایی اغلب از قلم می‌افتند.»
بر اساس بررسی‌های برخی پژوهشگران امنیت سایبری که با اسکن سرورها به دنبال شناسایی سیستم‌های در معرض خطر این آسیب‌پذیری PHP هستند، سرعت نصب وصله‌های امنیتی توسط سازمان‌ها افزایش یافته است؛ اما این روند در سطح جهانی به‌اندازه‌ای سریع نیست که انتظار می‌رود.
هوش مصنوعی چه نقشی در این اتفاق داشت؟
پژوهشگران شرکت‌های Calif و Wiz که این آسیب‌پذیری‌ها را شناسایی کردند، از ابزارهای پیشرفته هوش مصنوعی توسعه‌یافته توسط شرکت OpenAI، سازنده ChatGPT، استفاده کردند. این ابزارها می‌توانند کدها را تحلیل و نقص‌های امنیتی را بسیار سریع‌تر از انسان‌ها یا سامانه‌های قدیمی‌تر پیدا کنند.
کانهره گفت: «نرم‌افزارهای مدرن پیچیدگی بسیار زیادی دارند و برخی آسیب‌پذیری‌ها ممکن است سال‌ها شناسایی نشوند.»
او افزود: «باگ‌های زیربنایی جدید نبودند؛ آنچه تغییر کرد، توانایی ما برای پیدا کردن آن‌ها بود.»
جزئیات این کشف در هفته جاری به‌صورت آنلاین منتشر شد و همین موضوع توسعه‌دهندگان پلتفرم PHP را وادار کرد که پیش از برنامه‌ریزی اولیه، خبر آسیب‌پذیری امنیتی و ابعاد گسترده آن را اعلام کنند.
OpenAI در مطلبی در وبلاگ خود اعلام کرد این اتفاق «نشان می‌دهد که هوش مصنوعی چگونه می‌تواند نقص‌های امنیتی را کشف کند»، اما در عین حال مشخص می‌کند که این فناوری چگونه می‌تواند «به مهاجمان کمک کند ابزارها و اکسپلویت‌های تهاجمی را با سرعت توسعه دهند».
این شرکت همچنین اعلام کرد برنامه‌ای منتشر کرده است که می‌تواند امنیت پلتفرم PHP را بررسی کند.
رایان کو (Ryan Ko) از مرکز پژوهش‌های سایبری دانشگاه کوئینزلند گفت: «بسیاری از این نقص‌ها ریشه در شیوه ساخت نرم‌افزارها در گذشته دارند؛ نرم‌افزارهایی که با تمرکز بر عملکرد توسعه داده می‌شدند، نه با در نظر گرفتن امنیت.»
این آسیب‌پذیری برای شما چه معنایی دارد؟
این مشکل فرایندهای توسعه وب و بخش Back-end وب‌سایت‌ها را تحت تأثیر قرار می‌دهد؛ بخش‌هایی که برای بسیاری از کاربران قابل مشاهده نیستند. به همین دلیل، بیشتر افراد نیازی به انجام هیچ اقدامی نخواهند داشت.
با این حال، صاحبان کسب‌وکارهای کوچک که وب‌سایت دارند، از جمله سایت‌هایی که با WordPress ساخته شده‌اند، ممکن است بخواهند بدانند چگونه می‌توانند از وب‌سایت خود محافظت کنند.
به صاحبان وب‌سایت‌ها و مدیران زیرساخت‌هایی که PHP را اجرا می‌کنند توصیه شده است با به‌روزرسانی به آخرین نسخه، امنیت وب‌سایت‌های خود را تأمین کنند.
کن مونرو (Ken Munro)، هکر اخلاقی که سال‌ها در زمینه شناسایی نقص‌های امنیتی سیستم‌های رایانه‌ای فعالیت کرده است، می‌گوید نصب اصلاحیه‌ها که با عنوان Patching شناخته می‌شود، «تا حدی شبیه اجرای به‌روزرسانی ویندوز است».
اگر شرکت هاستینگ یا توسعه‌دهنده وب مدیریت وب‌سایت شما را بر عهده دارد، با آن‌ها تماس بگیرید و بپرسید آیا اصلاحیه‌های امنیتی PHP را نصب کرده‌اند یا خیر. توجه داشته باشید که این اصلاحیه‌ها باید مستقیماً روی خود PHP اعمال شوند و به‌روزرسانی WordPress یا افزونه‌های آن نمی‌تواند این مشکل را برطرف کند.
اگر خودتان مسئول نگهداری وب‌سایت هستید، مونرو می‌گوید: «مسئولیت اطمینان از نصب اصلاحیه‌ها بر عهده خود شماست.»
مرکز ملی امنیت سایبری بریتانیا (NCSC) توصیه می‌کند اگر نمی‌توان وصله‌های امنیتی یا راهکارهای حفاظتی موقت را به‌اندازه کافی سریع اجرا کرد، خارج کردن موقت وب‌سایت از دسترس را در نظر بگیرید.
آژانس امنیت ملی آمریکا نیز خواستار «هوشیاری بیشتر» در هفته‌های آینده شده و به کاربران توصیه کرده است اطلاعیه‌های منتشرشده از سوی فروشندگان نرم‌افزار را به‌دقت دنبال کنند.
این آژانس اعلام کرد: «هوشیاری در نصب وصله‌های امنیتی مربوط به این سامانه‌ها اهمیت بسیار زیادی دارد.»
اگرچه مسئولیت اصلی بر عهده مدیران وب‌سایت‌هاست، کانهره می‌گوید کاربران نیز باید به توصیه‌های امنیتی سرویس‌های تحت تأثیر این رخداد توجه کنند؛ برای مثال، اگر از آن‌ها خواسته شد رمز عبور خود را تغییر دهند، این درخواست را جدی بگیرند.
او همچنین هشدار داد که افراد باید مراقب پیام‌های فیشینگ باشند که ممکن است از انتشار اخبار مربوط به این رخداد برای فریب کاربران سوءاستفاده کنند.
منبع: BBC
دیدگاه خود را بنویسید
نشانی ایمیل شما منتشر نمی‌شود.
