اعترفت مؤسسة PHP بـ 'فشل هيكلي': تأخر إصلاح ثغرة أمنية حرجة تم ملاحظتها لأول مرة في عام 2024 بسبب التردد ونقص الموارد. سمحت ثغرتان أمنيتان مرتبطتان للمهاجمين غير المصدقين بتنفيذ التعليمات البرمجية على الخوادم المتأثرة - تم إصدار تصحيحات طارئة يوم الأربعاء.
تقول مدونة المؤسسة: 'لن نتظاهر بغير ذلك: كان التأخير فشلاً هيكلياً ناتجاً عن كل من عملية اتخاذ القرار لفريق الأمن ونقص الموارد'. لم يتمكن المطورون من اقتراح حل بسرعة دون تعطيل النظام البيئي الواسع لبرمجيات PHP؛ كان الفريق الصغير ذو المعرفة العميقة بالمحرك يعاني من نقص في الأيدي، ولم يكن هناك مسار معروف لتنفيذ التعليمات البرمجية عن بُعد.
تم تنبيه المؤسسة إلى الثغرة مرة أخرى في 11 أغسطس: أبلغت Calif وOpenAI عن نفس المشكلة بشكل مستقل، حيث أظهرت Calif تنفيذ التعليمات البرمجية عن بُعد بشكل غير مشروط. جعل هذا الأمر أولوية.
يوم الأربعاء، توقفت مواقع وخدمات حكومية حول العالم أثناء تثبيت التصحيحات. قامت هولندا بتعطيل خدمة التعريف الرقمي الخاصة بها وموقع مركز الأمن السيبراني الوطني، وأوقفت Valtori في فنلندا خدمات الويب الحكومية العامة، وعطلت وزارة الداخلية الفرنسية مواقع المحافظات، وأخذت ITZBund في ألمانيا عدة مواقع خارج الخدمة، وفقاً لرويترز. أكدت مديرية الإشارات الأسترالية (ASD) أن موقعها الإلكتروني cyber gov au تأثر. حثت رئيسة وزراء اليابان ساناي تاكايشي المشغلين على تثبيت التصحيح في أسرع وقت ممكن وأشارت إلى أن تعطيل الوظائف مؤقتاً يقلل من المخاطر.
قامت مؤسسة ويكيميديا بتعطيل Toolforge وCloud VPS مؤقتاً - استضافة لأدوات ومشاريع المتطوعين، مما تسبب في عدم توفر جزئي لويكيبيديا يوم الأربعاء. قامت منظمة كاردانو Intersect بتعطيل منطقة الأعضاء أثناء تقييم المخاطر.
فحصت شركة الأمن السيبراني SlowMist 1,488 نطاقاً ووجدت 793 منها تحتوي على آثار مباشرة لـ PHP؛ حثت البورصات ومنصات DeFi ومقدمي المحافظ على التحقق من تعرضهم وتحديثهم.
صرح جيف لونغلوفر، رئيس الأمن في Coinbase، بأنه لم يتم العثور على أي حالات PHP معرضة للخطر في الشركة وأضاف أنه عند تلقي مثل هذه التقارير، تقوم الشركة بإجراء فحص كامل وتعمل مع البائعين الخارجيين. كما أفادت BitGo بأن المنصة لم تتأثر. حث مؤسس Binance المشارك تشانغ بينغ تشاو على 'توخي الحذر الشديد' عند زيارة المواقع في الأيام القادمة. أصدرت OpenAI أداة على GitHub، Codex، لمساعدة المشغلين في التحقق من إصدارات PHP المعرضة للخطر.
أفاد فريق أمان PHP بأنه لم يتم تحديد أي استغلالات وظيفية في وقت الكشف العلني.
أُعدت هذه المادة لأغراض معلوماتية وتعريفية فقط ولا تشكل نصيحة أو توصية مالية.
مقالات ذات صلة
