بنیاد PHP: “شکست ساختاری” باعث تأخیر در رفع نقص امنیتی حیاتی شد

وب‌سایت‌های دولتی و خدمات آنلاین پس از نگرانی‌ها درباره یک باگ PHP که می‌توانست به مهاجمان اجازه دهد کنترل سرورهای آسیب‌پذیر را به دست گیرند، دچار اختلال شدند.

تأخیر در رفع نقص امنیتی PHP

بنیاد PHP اذعان کرده است که عدم قاطعیت و کمبود منابع، روند رفع یک نقص امنیتی حیاتی را که اولین بار در سال ۲۰۲۴ شناسایی شد، به تأخیر انداخته و این واکنش کند را “شکست ساختاری” خوانده است.

اقدامات احتیاطی در سراسر جهان

سازمان‌های دولتی و سایر نهادها در سراسر جهان روز چهارشنبه به عنوان اقدام احتیاطی، وب‌سایت‌های خود را از دسترس خارج کردند، در حالی که PHP وصله‌های اضطراری برای دو آسیب‌پذیری حیاتی مرتبط منتشر کرد. این نقص‌ها می‌توانستند به مهاجمان بدون احراز هویت اجازه دهند بدون ورود به سیستم، کد را بر روی سرورهای تحت تأثیر اجرا کنند.

PHP یک زبان برنامه‌نویسی است که به طور گسترده برای راه‌اندازی وب‌سایت‌ها و برنامه‌های وب، از جمله سیستم‌های مدیریت محتوا، استفاده می‌شود.

جزئیات کشف آسیب‌پذیری

این بنیاد در پستی وبلاگی پس از انتشار وصله، توضیح داد که چگونه توسعه‌دهندگانش اولین بار در سال ۲۰۲۴ نشانه‌هایی از این آسیب‌پذیری را کشف کردند، اما برای یافتن راه‌حلی بدون ایجاد اختلال در اکوسیستم بزرگ نرم‌افزارهای ساخته شده با PHP با مشکل مواجه شدند.

این بنیاد اعلام کرد: “همراه با عدم وجود مسیر شناخته شده برای اجرای کد از راه دور و تیم کوچک توسعه‌دهندگان اصلی با دانش عمیق مورد نیاز از موتور که با مسئولیت‌های فراوان مشغول بودند، این فرآیند تصمیم‌گیری باعث شد کار بر روی رفع نقص بارها در طول ماه‌ها متوقف و دوباره آغاز شود.”

این بنیاد افزود: “ما ادعای دیگری نخواهیم داشت: این تأخیر یک شکست ساختاری بود که هم ناشی از فرآیند تصمیم‌گیری تیم امنیتی و هم کمبود منابع آن بود.”

این بنیاد مجدداً در ۱۱ اوت به این آسیب‌پذیری توجه شد، پس از آنکه شرکت امنیتی Calif و OpenAI به طور مستقل همان مشکل اساسی را گزارش کردند و Calif اجرای کد از راه دور بدون قید و شرط را نشان داد که آن را به اولویت امنیتی بالایی تبدیل کرد.

تأثیر جهانی اختلالات

این اختلال در سراسر جهان گسترش یافت زیرا توسعه‌دهندگان برای آماده‌سازی نصب وصله‌های اضطراری، وب‌سایت‌ها را از دسترس خارج کردند.

هلند سرویس هویت دیجیتال خود را تعطیل کرد و مرکز ملی امنیت سایبری این کشور نیز وب‌سایت خود را از دسترس خارج کرد.

Valtori، ارائه‌دهنده خدمات فناوری اطلاعات دولتی فنلاند، خدمات وب عمومی دولتی را قطع کرد، در حالی که وزارت کشور فرانسه به طور موقت وب‌سایت‌های استانداری را از دسترس خارج کرد. طبق گزارش رویترز، ITZBund، ارائه‌دهنده خدمات فناوری اطلاعات فدرال آلمان نیز چندین وب‌سایت را غیرفعال کرد.

در استرالیا، اداره سیگنال‌های استرالیا اذعان کرد که وب‌سایت امنیت سایبری آن، cyber.gov.au، در میان سایت‌های دولتی تحت تأثیر مشکل PHP قرار داشت.

سانا تاکیچی، نخست‌وزیر ژاپن، در پلتفرم X از اپراتورهای وب‌سایت خواست تا برای اعمال سریع وصله آماده شوند. او در پستی اعلام کرد که تعلیق موقت عملکردهای وب‌سایت می‌تواند خطر را در صورت عدم امکان اعمال فوری وصله کاهش دهد.

بنیاد Wikimedia که ویکی‌پدیا را اداره می‌کند، اعلام کرد که برخی از خدمات پشتیبانی را به عنوان اقدام احتیاطی از دسترس خارج کرده است، از جمله Toolforge و Cloud VPS که میزبان ابزارها و پروژه‌های مورد استفاده توسعه‌دهندگان داوطلب هستند و این امر منجر به از دسترس خارج شدن بخش‌هایی از ویکی‌پدیا در روز چهارشنبه شد.

شرکت امنیتی بلاک‌چین SlowMist اعلام کرد که سرویس MistEye آن استفاده از PHP را در صنعت ارزهای دیجیتال بررسی کرده و از صرافی‌ها، پلتفرم‌های DeFi و ارائه‌دهندگان کیف پول خواسته است تا میزان در معرض خطر خود را بررسی کرده و به‌روزرسانی کنند. این شرکت ۷۹۳ دامنه را با اثر انگشت مستقیم PHP در میان ۱,۴۸۸ دامنه ارزیابی شده شناسایی کرد.

Intersect، یک سازمان عضو که از توسعه و حاکمیت بلاک‌چین Cardano پشتیبانی می‌کند، اعلام کرد که منطقه اعضای خود را به طور موقت از دسترس خارج کرده است تا در معرض خطر احتمالی را ارزیابی کند. این صفحه در زمان نگارش همچنان از دسترس خارج است.

واکنش شرکت‌های فناوری و ارز دیجیتال

جف لانگلوفر، افسر ارشد امنیتی Coinbase، گفت که این شرکت هیچ مدرکی مبنی بر در معرض خطر بودن نمونه‌های PHP پیدا نکرده است. او افزود: “هر زمان که در مورد آسیب‌پذیری‌هایی مانند این می‌شنویم، به طور خودکار یک بررسی کامل انجام می‌دهیم تا مطمئن شویم همه چیز تا حد امکان امن است. ما همچنین با تأمین‌کنندگان شخص ثالث خود برای اطمینان بیشتر همکاری می‌کنیم.”

شرکت زیرساخت دارایی دیجیتال BitGo نیز اعلام کرد که پلتفرم آن تحت تأثیر آسیب‌پذیری PHP قرار نگرفته است.

در همین حال، چانگ‌پنگ ژائو، هم‌بنیان‌گذار Binance، روز چهارشنبه به کاربران اینترنت هشدار داد که در چند روز آینده در بازدید از هر وب‌سایتی “بسیار مراقب” باشند، زیرا ممکن است برخی از مدیران وب با وصله‌های امنیتی به‌روز نباشند.

OpenAI یک مهارت Codex را منتشر کرده است تا به اپراتورهای وب‌سایت در بررسی نسخه‌های آسیب‌پذیر PHP و شناسایی به‌روزرسانی‌های قابل اجرا کمک کند، که از طریق GitHub قابل دسترسی است.

تیم امنیتی PHP اعلام کرده است که در زمان افشای عمومی، هیچ سوءاستفاده عملکردی را شناسایی نکرده است.