ثغرتان في PHP كشفتاهما أداة ذكاء اصطناعي: سباق عالمي لتحديث المواقع

PHP vulnerabilities — أعلنت مؤسسة PHP أن ثغرتين أمنيتين خطيرتين في لغة البرمجة مفتوحة المصدر اكتُشفتا باستخدام نموذج من OpenAI، وهو ما أطلق موجة عالمية من التحديثات العاجلة للمواقع الإلكترونية. وتُشغّل PHP ما يصل إلى 70% من مواقع الإنترنت، ما يجعل أي خلل فيها مسألة تمس شريحة واسعة من المستخدمين والشركات على حد سواء.

من اكتشاف الثغرة إلى تحديث الخوادم

بعد التنبيه إلى وجود الثغرتين، أصدرت المؤسسة إصدارات جديدة من PHP، ودُعي مشغلو المواقع إلى تحديث نسخهم المثبتة دون تأخير. وخلال الأسبوع الماضي، سارعت جهات عديدة حول العالم إلى تحديث أنظمة مواقعها، غير أن بعض المواقع الحكومية الأوروبية تعطلت مؤقتاً أثناء عملية التحديث.

وتكمن المشكلة في أن القانون لا يُلزم أصحاب المواقع بتحديث PHP. فالتحديث يظل في كثير من الحالات قراراً طوعياً، حتى مع تزايد المخاطر الأمنية. ويُعد هذا الفراغ التنظيمي أحد الأسباب التي تجعل الثغرات تبقى قائمة على مواقع كثيرة رغم توفر الحلول.

مؤسسة PHP: موظف واحد و14 متعاقداً

تقف خلف هذه اللغة مؤسسة صغيرة الموارد. فقد تأسست مؤسسة PHP في عام 2021، ولا يضم طاقمها سوى موظفة واحدة بدوام كامل، هي إليزابيث بارون، المديرة التنفيذية. وتعتمد المؤسسة على نحو 14 متعاقداً بدوام جزئي وأعضاء مجلس إدارة غير مدفوعي الأجر.

وتقول بارون إن PHP تعاني نقصاً حاداً في التمويل، وإن الطلب على تعديلات الشيفرة البرمجية تضاعف نتيجة التهديدات المرتبطة بالذكاء الاصطناعي، في حين لم يتضاعف عدد المساهمين في المشروع بالقدر نفسه. وتشير إلى أن المؤسسة لا تملك الموارد الكافية لتوسيع نطاق عملها بما يلبي هذا التزايد.

فجوة الوعي لدى أصحاب الأعمال الصغيرة

في استطلاع أجرته Network Solutions شمل 121 من أصحاب الأعمال الصغيرة الذين يمتلكون مواقع إلكترونية، لم يكن 45% منهم قد سمعوا بـ PHP من قبل. وقال 71% إنهم لا يعرفون ما إذا كانت مواقعهم تعتمد على PHP، وأفاد 71% بأنهم لم يسمعوا بالثغرتين الأخيرتين.

ويعزو ريك رادينغر، كبير مهندسي الأنظمة في مجموعة Network Solutions، هذه النتائج إلى فجوات في الوعي والمعرفة، وإلى غموض في مسؤولية التحديث. فبعض المالكين يفترضون أن مزودي الاستضافة يتولون الأمر نيابة عنهم، بينما لا يستطيع المستخدمون أنفسهم إصلاح المشكلات من جانب الخادم.

استجابات المزودين: جدران حماية وتحديثات تلقائية

سعت شركات البنية التحتية إلى احتواء الموقف بطرق مختلفة. فقد نشرت Cloudflare حماية عبر جدار حماية تطبيقات الويب لصد الهجمات المحتملة، وأعلنت GoDaddy أنها حدّثت خدمات الاستضافة المُدارة واستضافة Windows تلقائياً دون الحاجة إلى تدخل العملاء. لكن عملاء GoDaddy الذين يديرون مواقعهم بأنفسهم قد يحتاجون إلى تحديث PHP يدوياً.

وفي سياق متصل، أطلقت Cloudflare مسابقة PHP Capture the Flag على منصة HackerOne، بجوائز تتراوح بين 100 دولار و10 آلاف دولار، في خطوة تستهدف حشد جهود الباحثين الأمنيين لاكتشاف الثغرات.

ماذا يعني ذلك لمستخدمي المواقع؟

لا يستطيع الزائر العادي معرفة إصدار PHP الذي يعمل به موقع ما بسهولة، إذ يتطلب الأمر استخدام أوامر طرفية أو أدوات فحص عبر الإنترنت. كما أن تحديث المتصفح لا يعالج الثغرات من جانب الخادم، فقد يبدو الموقع عاملاً بشكل طبيعي وهو في الواقع غير محدّث.

وتزيد المواقع الخاملة التي تُركت دون إدارة لسنوات من حجم المشكلة، لأنها قد تبقى دون تحديثات لفترات طويلة. وينصح المستخدمون بتوخي الحذر عند التعامل مع الروابط غير المألوفة والمواقع غير الموثوقة، لا سيما في ظل تصاعد الهجمات المولّدة بالذكاء الاصطناعي.

PHP جزء من منظومة أوسع تحتاج إلى صيانة

ليست PHP التقنية الوحيدة التي تتطلب تحديثاً دورياً؛ فمواقع الويب تعتمد أيضاً على JavaScript وقواعد بيانات SQL وأنظمة إدارة المحتوى وبرمجيات الخادم. وتشير المعطيات إلى أن البنية التحتية الرقمية تعاني تقادماً وإهمالاً في كثير من الحالات، ما قد يؤدي إلى مزيد من الثغرات مستقبلاً.

وفي ظل غياب إلزام قانوني بالتحديث، يبقى عبء الصيانة الأمنية موزعاً بشكل غير واضح بين المالكين والمستضيفين والمطورين. وقد يواجه أصحاب المواقع المخترقة مسؤولية قانونية تجاه عملائهم، ما يجعل التحديث المنتظم ضرورة تتجاوز الجانب التقني إلى المسؤولية القانونية.