وكالة CISA تحذّر: قراصنة يستغلّون ثغرات حرجة في PHP ويجب تحديثها فوراً

أعلنت وكالة الأمن السيبراني وأمن البنية التحتية الأمريكية (CISA) يوم الاثنين أن قراصنة بدأوا فعلياً باستغلال ثغرتين أمنيتين حرجتين في لغة PHP، وهي لغة البرمجة التي تعتمد عليها نسبة كبيرة من مواقع الإنترنت حول العالم، وطالبت الوكالة الجهات الحكومية الفيدرالية غير العسكرية بتطبيق التحديثات اللازمة خلال ثلاثة أيام فقط، في تصعيد واضح يعكس خطورة الموقف على ملايين المواقع التي تعمل بهذه اللغة.

جاء تحذير CISA بعد أقل من أسبوع من إصدار القائمين على تطوير PHP تحديثاً أمنياً يسد هاتين الثغرتين. وبحسب الوكالة، تتيح الثغرتان لأي مهاجم اقتحام الأنظمة المتأثرة عن بُعد دون الحاجة إلى أي بيانات اعتماد أو كلمات مرور، أي أنه يمكن تنفيذ التعليمات البرمجية عن بُعد على الخادم المستهدف والسيطرة عليه بشكل كامل، وهو أحد أخطر أنواع الثغرات الأمنية في عالم الويب.

وتكمن الخطورة الأكبر في حجم انتشار PHP نفسها، إذ تشغّل هذه اللغة نحو 70 بالمئة من الخوادم المرتبطة بالإنترنت على مستوى العالم، بدءاً من المواقع الشخصية الصغيرة وحتى أنظمة إدارة المحتوى والمنصات التجارية الكبرى. وهذا يعني أن نطاق المواقع المحتمل تعرضها للاختراق واسع جداً، ويشمل جهات حكومية وشركات ومؤسسات لا تدرك بالضرورة أنها تستخدم PHP في بنيتها التقنية بشكل مباشر أو غير مباشر عبر الإضافات والأنظمة الجاهزة التي تعتمد عليها.

واللافت في هذه القضية أن الثغرتين لم تكونا جديدتين بالكامل، فقد عُرف وجودهما منذ نحو عامين، لكن القائمين على مشروع PHP اعتبروا في ذلك الوقت أنه لا توجد طريقة عملية لاستغلالهما فعلياً، فتُركتا دون إصلاح عاجل. غير أن باحثين في شركة أمنية تُدعى Calif تمكنوا مطلع هذا العام من إيجاد طريقة فعلية لاستغلال الثغرتين، بمساعدة أحد نماذج الذكاء الاصطناعي، وهو ما دفع فريق PHP إلى التحرك وإصدار تحديث عاجل يغلق هذا الباب.

ولم تكشف CISA عن هوية الجهات التي تقف خلف عمليات الاستغلال الجارية حالياً، إلا أن باحثين أمنيين آخرين أشاروا، في تقرير مستقل صدر قبل يومين من تحذير الوكالة، إلى رصد أدلة على عمليات استغلال فعلية جُمعت عبر مصيدة رقمية، وهي نظام يُنصب عمداً لجذب المهاجمين ورصد أساليبهم. هذه الأدلة تدعم رواية CISA بأن التهديد ليس نظرياً، بل يجري استغلاله على أرض الواقع فعلاً.

وأمام هذا التهديد، اضطرت بعض الجهات الحكومية والشركات الكبرى إلى إيقاف مواقعها عن العمل مؤقتاً لتطبيق التحديثات الأمنية بأمان، بدلاً من المخاطرة بإبقائها متصلة بالإنترنت وهي عرضة للاختراق. وهذا القرار، على كلفته التشغيلية، يعكس مدى الجدية التي تعاملت بها هذه الجهات مع النشرة الأمنية التي أصدرتها CISA وفرق الأمن المعنية بلغة PHP.

تسلّط هذه الحادثة الضوء أيضاً على قضية أوسع تتعلق بمشاريع المصدر المفتوح التي تقوم عليها أجزاء واسعة من البنية التحتية للإنترنت. فمشاريع مثل PHP، على الرغم من أهميتها الحيوية، تعتمد غالباً على فرق محدودة الموارد لا تملك الإمكانيات الكافية لإجراء مراجعات أمنية شاملة ومستمرة لكل جزء من الكود. وفي المقابل، تتزايد قدرة نماذج الذكاء الاصطناعي على المساعدة في اكتشاف الثغرات وربط أجزاء متفرقة منها لتكوين مسار استغلال فعلي، كما حدث في هذه الحالة، وهو اتجاه يرجَّح أن يعيد تشكيل موازين القوى بين المهاجمين والمدافعين في مجال الأمن السيبراني خلال السنوات المقبلة.

فما الذي ينبغي أن يفعله القائمون على المواقع والخدمات الآن؟ الخطوة الأولى والأكثر إلحاحاً هي التحقق فوراً من إصدار PHP المستخدم في أي موقع أو تطبيق تحت إدارتهم، وتطبيق التحديث الأمني الذي أصدره فريق PHP دون تأخير، بما يشمل ليس فقط الخادم الرئيسي بل أيضاً أي إضافات أو مكونات تعتمد على PHP في الخلفية. من المهم أيضاً مراجعة مزودي الاستضافة والخدمات السحابية للتأكد من أنهم طبّقوا التحديث على بنيتهم هم أيضاً، إذ أن ثغرة في طرف واحد من السلسلة تكفي لتعريض الموقع كله للخطر.

في منطقة الشرق الأوسط وشمال أفريقيا، تعتمد نسبة واسعة من المواقع الحكومية والتجارية ومنصات التجارة الإلكترونية على لغة PHP أساساً لبنيتها التقنية، مما يجعل هذا التحذير ذا أهمية مباشرة للمؤسسات العربية. فبوابات الخدمات الإلكترونية الحكومية في السعودية والإمارات والأردن ومصر، إلى جانب منصات الدفع الإلكتروني وأنظمة إدارة المحتوى الشائعة، قد تكون جميعها عرضة للثغرتين في حال عدم تطبيق التحديث العاجل. ويُنصح مسؤولو تقنية المعلومات في المؤسسات العربية بمراجعة إصدارات PHP في بنيتهم التحتية فوراً وتطبيق التحديث الأمني دون تأخير.

وفي الحالات التي يتعذر فيها تطبيق التحديث بشكل فوري، توصي الجهات الأمنية بإيقاف الخدمة المتأثرة مؤقتاً عن العمل، على غرار ما فعلته بعض الحكومات والشركات، إلى حين التأكد من إغلاق الثغرة بالكامل. كما يُنصح بمراقبة سجلات الخادم عن كثب لرصد أي نشاط مشبوه قد يشير إلى محاولات استغلال، خصوصاً مع تأكيد وجود أدلة ميدانية على استغلال فعلي لهاتين الثغرتين. في النهاية، تمثل هذه الحادثة تذكيراً صريحاً بأن تأمين البنية التحتية للويب لا يقل أهمية عن تأمين الشبكات الداخلية، وأن السرعة في الاستجابة للتحديثات الأمنية قد تكون الفارق بين موقع سليم وموقع مخترق.