بنیاد PHP (PHP Foundation) اذعان کرده است که تردید در تصمیم‌گیری و کمبود منابع، رفع یک نقص امنیتی حیاتی را که نخستین بار در سال ۲۰۲۴ شناسایی شده بود به تأخیر انداخته است؛ این بنیاد، روند متوقف‌شده در واکنش به این مشکل را یک «شکست ساختاری» نامید.
نهادهای دولتی و سایر سازمان‌ها در سراسر جهان روز چهارشنبه به عنوان اقدامی احتیاطی، وب‌سایت‌های خود را از دسترس خارج کردند؛ هم‌زمان، PHP پچهای اضطراری را برای دو آسیب‌پذیری حیاتی و مرتبط منتشر کرد. این حفره‌های امنیتی می‌توانستند به مهاجمانِ احراز هویت‌نشده اجازه دهند بدون نیاز به ورود به سیستم، کدهای خود را روی سرورهای آسیب‌دیده اجرا کنند.
زبان برنامه‌نویسی PHP به طور گسترده‌ای برای راه‌اندازی وب‌سایت‌ها و برنامه‌های تحت وب، از جمله سیستم‌های مدیریت محتوا (CMS)، مورد استفاده قرار می‌گیرد.
در یک پست وبلاگی که پس از انتشار این وصله امنیتی منتشر شد، این بنیاد توضیح داد که چگونه توسعه‌دهندگانش نخستین بار نشانه‌های این آسیب‌پذیری را در سال ۲۰۲۴ کشف کردند، اما برای یافتن راه‌حلی که اکوسیستم عظیم نرم‌افزارهای ساخته‌شده با PHP را مختل نکند، با چالش روبه‌رو شدند.
بنیاد PHP در این باره گفت:
در کنار نبود یک مسیر شناخته‌شده برای اجرای کد از راه دور (RCE) و همچنین کوچک بودن تیم توسعه‌دهندگان اصلی که دانش عمیق لازم از موتور این زبان را داشتند اما درگیر مسئولیت‌های متعددی بودند، این فرآیند تصمیم‌گیری باعث شد کار روی رفع این مشکل طی ماه‌ها بارها متوقف و دوباره از سر گرفته شود.
این بنیاد افزود:
ما قصد نداریم تظاهر کنیم که غیر از این بوده است: این تأخیر یک شکست ساختاری بود که هم ناشی از فرآیند تصمیم‌گیری تیم امنیتی و هم ناشی از کمبود منابع آن بود.
توجه این بنیاد در تاریخ ۱۱ اوت (۲۰ مرداد) بار دیگر به این آسیب‌پذیری جلب شد و شرکت امنیتی کالیف (Calif) و شرکت اوپن‌ای‌آی (OpenAI) به طور مستقل همان مشکل زیربنایی را گزارش کردند و شرکت کالیف توانست امکان «اجرای کد از راه دور به صورت غیرمشروط» را به نمایش بگذارد؛ موضوعی که رفع این باگ را به بالاترین اولویت امنیتی تبدیل کرد.
خاموشی وب‌سایت‌ها در پی هراس امنیتی PHP
با اقدام توسعه‌دهندگان برای قطع دسترسی به وب‌سایت‌ها جهت آماده‌سازی و نصب پچهای اضطراری، این اختلال به سراسر جهان گسترش یافت.
کشور هلند سرویس هویت دیجیتال خود را متوقف کرد و مرکز ملی امنیت سایبری این کشور نیز وبسایت خود را از دسترس خارج نمود.
به گزارش رویترز، ارائه‌دهنده دولتی خدمات فناوری اطلاعات در فنلاند (Valtori) خدمات وب عمومی دولتی را قطع کرد، در حالی که وزارت کشور فرانسه نیز به طور موقت وب‌سایت‌های استانداری‌ها را آفلاین کرد. همچنین مرکز فدرال فناوری اطلاعات آلمان (ITZBund) چندین وبسایت را غیرفعال نمود.
در استرالیا، اداره سیگنال‌های استرالیا (ASD) تأیید کرد که وبسایت امنیت سایبری این نهاد به آدرس cyber.gov.au در میان سایت‌های دولتی متأثر از مشکل PHP بوده است.
سانائه تاکایچی (Sanae Takaichi)، نخست‌وزیر ژاپن، با انتشار پستی در شبکه اجتماعی ایکس (X) از اپراتورهای وب‌سایت‌ها خواست تا برای اعمال هرچه سریع‌تر این پچ امنیتی آماده شوند. او در پست خود نوشت که اگر امکان اعمال فوری پچ وجود ندارد، تعلیق موقت عملکردهای وبسایت می‌تواند ریسک را کاهش دهد.
بنیاد ویکی‌مدیا (Wikimedia Foundation) که اداره ویکی‌پدیا را بر عهده دارد، اعلام کرد که به عنوان اقدامی احتیاطی، برخی از سرویس‌های پشتیبانی خود از جمله Toolforge و Cloud VPS را که میزبان ابزارها و پروژه‌های مورد استفاده توسعه‌دهندگان داوطلب هستند، آفلاین کرده است و منجر به از دسترس خارج شدن بخش‌هایی از ویکی‌پدیا در روز چهارشنبه شد.
شرکت امنیت بلاکچین اسلومیست (SlowMist) اعلام کرد که سرویس MistEye این شرکت میزان استفاده از PHP را در سراسر صنعت ارزهای دیجیتال بررسی کرده و از صرافی‌ها، پلتفرم‌های دیفای (DeFi) و ارائه‌دهندگان کیف پول خواسته است تا میزان آسیب‌پذیری خود را بررسی و سیستم‌هایشان را ارتقا دهند. این شرکت در میان ۱,۴۸۸ دامنه بررسی‌شده، ۷۹۳ دامنه را که دارای اثر انگشت مستقیم از PHP بودند، شناسایی کرد.
سازمان اینترسکت (Intersect)، یک نهاد عضویت‌محور که از توسعه و حاکمیت بلاکچین کاردانو (Cardano) پشتیبانی می‌کند، اعلام کرد که تا زمان ارزیابی آسیب‌پذیری‌های احتمالی، بخش ناحیه کاربری اعضا (Members Area) خود را به صورت موقت آفلاین کرده است. در زمان نگارش این مطلب، این صفحه همچنان از دسترس خارج است.
جف لانگل‌هوفر (Jeff Lunglhofer)، مدیر ارشد امنیت صرافی کوین‌بیس (Coinbase)، گفت که این شرکت هیچ نشانه‌ای از وجود نمونه‌های آسیب‌پذیر PHP در سیستم‌های خود نیافته است. او اظهار داشت:
هر زمان که درباره چنین آسیب‌پذیری‌هایی می‌شنویم، به طور خودکار یک بررسی و پاکسازی کامل انجام می‌دهیم تا مطمئن شویم همه‌چیز تا جای ممکن ایمن است. ما همچنین برای اطمینان بیشتر با تأمین‌کنندگان شخص ثالث خود همکاری می‌کنیم.
شرکت زیرساخت دارایی‌های دیجیتال بیت‌گو (BitGo) نیز اعلام کرد که پلتفرم این شرکت تحت تأثیر آسیب‌پذیری PHP قرار نگرفته است.
در همین حال، چانگ‌پنگ ژائو (Changpeng Zhao – CZ)، هم‌بنیان‌گذار بایننس، روز چهارشنبه به کاربران اینترنت هشدار داد که در چند روز آینده هنگام بازدید از هر وب‌سایتی «بسیار مراقب» باشند، زیرا ممکن است برخی از مدیران وب‌سایت‌ها هنوز پچهای امنیتی جدید را دریافت و نصب نکرده باشند.
شرکت OpenAI یک مهارت Codex منتشر کرده است تا به اپراتورهای وب‌سایت‌ها کمک کند نسخه‌های احتمالی آسیب‌پذیر PHP را بررسی کرده و به‌روزرسانی‌های مرتبط را شناسایی کنند؛ این ابزار از طریق گیت‌هاب (GitHub) قابل دسترسی است.
تیم امنیتی PHP اعلام کرد که در زمان افشای عمومی این موضوع، هیچ‌گونه اکسپلویت) فعالی را از این حفره امنیتی شناسایی نکرده است.
