ما الذي تعنيه الثغرة الأمنية في لغة «PHP» بالنسبة إلى الإنترنت؟
المكتب الألماني وIONOS يحذران من ثغرتين في PHP تتيحان اختراق الخوادم
ترجمهٔ قیاس از الجريدة — منبع اصلی
یک حفره امنیتی جدی در زبان برنامه‌نویسی «پی‌اچ‌پی» (PHP) نگرانی گسترده‌ای را در میان متخصصان فناوری اطلاعات و اپراتورهای وب‌سایت‌ها ایجاد کرده است. دفتر فدرال آلمان برای امنیت اطلاعات و کارشناسان بین‌المللی از خطر فوری هشدار می‌دهند. در ادامه، مهم‌ترین پرسش‌ها و پاسخ‌های آن‌ها آمده است:
دو حفره امنیتی بسیار خطرناک در زبان برنامه‌نویسی «پی‌اچ‌پی» (PHP) که به‌طور گسترده‌ای استفاده می‌شود و پایه فنی بخش بزرگی از وب‌سایت‌های سراسر جهان را تشکیل می‌دهد، کشف شده‌اند. این دو حفره که با نام «PHP2Shell» شناخته می‌شوند و تحت شماره‌های «CVE-2026-109618» و «CVE-2026-109619» ثبت شده‌اند، به مجرمان اجازه می‌دهند تا کدهای مخرب را از راه دور روی سرورها اجرا کنند.
با توجه به خطر تصاحب کامل سیستم‌های آسیب‌پذیر و همچنین افشای غیرعمدی جزئیات این دو حفره پیش از موعد مقرر، مقامات و کارشناسان امنیت فناوری اطلاعات وضعیت را یک وضعیت اضطراری استثنایی طبقه‌بندی کرده‌اند. بسیاری از اپراتورهای وب‌سایت‌ها به‌عنوان اقدام احتیاطی، سایت‌های خود را از اینترنت خارج کرده‌اند.
بله، خطر غیرمستقیمی وجود دارد. اگر یک وب‌سایت، درگاه خدمات عمومی یا فروشگاه اینترنتی از نسخه آسیب‌پذیر «پی‌اچ‌پی» (PHP) استفاده کند و به‌موقع محافظت نشود، مهاجمان ممکن است از طریق کدهای مخرب به پایگاه‌های داده پشت وب‌سایت دسترسی پیدا کنند. این امر می‌تواند منجر به نشت داده‌های حساس مشتریان، از جمله اطلاعات شخصی، رمزهای عبور و اطلاعات تماس شود.
اما خطر مستقیمی برای دستگاه‌هایی که افراد از آن‌ها استفاده می‌کنند، مانند گوشی‌های هوشمند، تبلت‌ها و رایانه‌ها وجود ندارد، زیرا این حفره امنیتی محدود به سرورهایی است که وب‌سایت‌ها را در پس‌زمینه اجرا می‌کنند.
هنوز به‌طور دقیق مشخص نیست که چگونه این دو حفره در «پی‌اچ‌پی» (PHP) کشف شده‌اند. اما نشانه‌های زیادی وجود دارد که نشان می‌دهد استفاده گسترده از هوش مصنوعی در کشف آن‌ها نقش داشته است، به‌ویژه با توجه به اینکه این دو حفره امنیتی برای دهه‌ها بدون کشف باقی مانده بودند.
هوش مصنوعی همچنین در ماهیت تهدید نقش ایفا می‌کند. مهاجمان می‌توانند از آن برای اسکن سرورهای «پی‌اچ‌پی» (PHP) محافظت‌نشده جهت یافتن حفره‌های امنیتی و اجرای حملات گسترده در عرض چند ثانیه، بدون نیاز به مداخله دستی، استفاده کنند. بدین ترتیب، هوش مصنوعی در این بحران به‌عنوان یک عامل تسریع‌کننده برای هر دو طرف، چه در حمله و چه در دفاع، عمل می‌کند.
اپراتورهای وب‌سایت‌ها، اعم از وبلاگ‌ها، سایت‌های انجمن‌ها یا سایت‌های شرکت‌ها و مؤسسات عمومی، باید نسخه «پی‌اچ‌پی» (PHP) مورد استفاده در محیط سرور خود را بررسی کنند.
تیم توسعه‌دهنده روز چهارشنبه گذشته به‌روزرسانی‌های امنیتی اضطراری را منتشر کرد. همچنین شرکت‌های میزبانی وب بزرگ، مانند «IONOS»، از پیش نسخه‌های «PHP» را در سیستم‌های خود به‌روز کرده‌اند که حداقل برای وب‌سایت‌هایی که از به‌روزرسانی‌های امنیتی خودکار استفاده می‌کنند، محافظت فراهم می‌کند.
موج حملات خودکار در سطح جهانی آغاز شده و پیش‌بینی می‌شود که برای هفته‌ها یا ماه‌ها ادامه یابد، زیرا مهاجمان بی‌وقفه به جستجوی سیستم‌هایی می‌پردازند که به‌روزرسانی‌های امنیتی بر روی آن‌ها نصب نشده است.
تنها پس از آنکه اکثریت قریب به اتفاق شرکت‌های میزبانی وب و مدیران سیستم‌ها به‌روزرسانی‌های امنیتی را نصب کنند، می‌توان از رفع خطر اطمینان حاصل کرد. سیستم‌ها و نسخه‌های قدیمی «PHP» که دیگر به‌روزرسانی رسمی برای آن‌ها موجود نیست، باید فوراً توسط اپراتورها ایزوله یا متوقف شوند تا از باقی ماندن آسیب‌پذیری‌های دائمی که مجرمان سایبری می‌توانند از آن‌ها سوءاستفاده کنند، جلوگیری شود.
