بنیاد PHP پس از آن‌که سازمان‌های دولتی و شرکت‌های مختلف در سراسر جهان برای کاهش ریسک حمله، وب‌سایت‌ها و خدمات آنلاین خود را موقتاً از دسترس خارج کردند، پذیرفت که واکنش به یک آسیب‌پذیری امنیتی حیاتی بیش از حد به تأخیر افتاده است. این بنیاد علت اصلی را ترکیبی از فرایند تصمیم‌گیری نامناسب در تیم امنیتی و کمبود منابع دانست و این وضعیت را «شکست ساختاری» توصیف کرد.
PHP یک زبان برنامه‌نویسی پرکاربرد برای راه‌اندازی وب‌سایت‌ها و برنامه‌های تحت وب است و در بسیاری از سامانه‌های مدیریت محتوا و خدمات آنلاین به کار می‌رود. آسیب‌پذیری مورد بحث به دو نقص امنیتی مرتبط مربوط می‌شود که مهاجمِ احراز هویت‌نشده می‌تواند از طریق آن‌ها، بدون ورود به سامانه، کد دلخواه خود را روی سرورهای آسیب‌پذیر اجرا کند. چنین قابلیتی در صورت وجود در یک سرویس عمومی، می‌تواند کنترل سرور را در معرض خطر قرار دهد.
به گزارش Cointelegraph، PHP روز چهارشنبه وصله‌های اضطراری مربوط به این دو نقص را منتشر کرد. هم‌زمان، توسعه‌دهندگان و مدیران سامانه‌ها در کشورهای مختلف برخی خدمات را خاموش کردند تا فرصت بررسی و نصب اصلاحیه‌ها را داشته باشند. تیم امنیتی PHP اعلام کرده است که تا زمان افشای عمومی، هیچ بهره‌برداری عملیاتی شناسایی نکرده بود؛ با این حال، شدت احتمالی نقص باعث شد سازمان‌ها رویکرد احتیاطی در پیش بگیرند.
چرا اصلاح آسیب‌پذیری ماه‌ها طول کشید؟
توسعه‌دهندگان PHP نخستین نشانه‌های این مشکل را در سال ۲۰۲۴ شناسایی کردند. اما پیدا کردن راه‌حل ساده نبود، زیرا هر تغییر در هسته این زبان می‌توانست با اکوسیستم گسترده نرم‌افزارهایی که بر پایه PHP ساخته شده‌اند، تداخل ایجاد کند. بنیاد گفت نبود مسیر شناخته‌شده‌ای برای اجرای کد از راه دور، در کنار محدود بودن تعداد توسعه‌دهندگان اصلیِ دارای دانش عمیق از موتور PHP، تصمیم‌گیری را دشوار کرد.
اعضای اصلی این تیم هم‌زمان مسئولیت‌های متعددی داشتند. در نتیجه، کار روی اصلاحیه طی ماه‌ها چند بار متوقف و دوباره آغاز شد. بنیاد PHP در توضیح خود گفت این روند را نمی‌توان صرفاً یک تأخیر عادی دانست و مسئولیت آن را پذیرفت. به گفته بنیاد، هم تصمیم‌گیری تیم امنیتی و هم کمبود منابع در شکل‌گیری این وضعیت نقش داشتند.
اهمیت موضوع در ۱۱ اوت بیشتر شد؛ زمانی که شرکت امنیتی Calif و OpenAI به‌طور مستقل همان مسئله زیربنایی را گزارش کردند. Calif همچنین اجرای کد از راه دور را در شرایطی نشان داد که به گفته گزارش، به احراز هویت نیاز نداشت. پس از آن، این آسیب‌پذیری به اولویت فوری امنیتی تبدیل شد و روند آماده‌سازی وصله شتاب گرفت.
تعطیلی موقت خدمات در کشورهای مختلف
واکنش‌ها تنها به نصب نرم‌افزار محدود نماند و شماری از سازمان‌ها برای جلوگیری از قرار گرفتن در معرض خطر، خدمات آنلاین خود را قطع کردند:
- هلند سرویس هویت دیجیتال دولتی خود را خاموش کرد و مرکز ملی امنیت سایبری این کشور نیز وب‌سایتش را از دسترس خارج کرد.
- ارائه‌دهنده فناوری اطلاعات دولتی فنلاند، خدمات عمومی وب دولت را قطع کرد. در فرانسه نیز وزارت کشور وب‌سایت‌های فرمانداری‌ها را به‌طور موقت پایین آورد.
- شرکت فناوری اطلاعات فدرال آلمان، ITZBund، چند وب‌سایت را غیرفعال کرد. در استرالیا هم اداره سیگنال‌های این کشور تأیید کرد که وب‌سایت امنیت سایبری cyber.gov.au در میان خدمات تحت تأثیر بوده است.
- در ژاپن، سانائه تاکایچی، نخست‌وزیر، از اپراتورهای وب‌سایت‌ها خواست در سریع‌ترین زمان ممکن برای نصب وصله آماده شوند و گفت اگر اصلاحیه فوراً قابل نصب نیست، تعلیق موقت قابلیت‌های وب‌سایت می‌تواند ریسک را کاهش دهد.
بنیاد ویکی‌مدیا نیز برای احتیاط برخی خدمات پشتیبان، از جمله Toolforge و Cloud VPS را خاموش کرد. این خدمات میزبان ابزارها و پروژه‌هایی هستند که توسعه‌دهندگان داوطلب از آن‌ها استفاده می‌کنند؛ در نتیجه، بخشی از خدمات مرتبط با ویکی‌پدیا در روز چهارشنبه از دسترس خارج شد.
اثر احتمالی بر شرکت‌های رمزارزی
در صنعت رمزارز، سرویس امنیتی MistEye متعلق به شرکت SlowMist استفاده از PHP را بررسی کرد. این بررسی ۱٬۴۸۸ دامنه را ارزیابی و در ۷۹۳ دامنه نشانه مستقیم استفاده از PHP شناسایی کرد. SlowMist از صرافی‌ها، پلتفرم‌های امور مالی غیرمتمرکز و ارائه‌دهندگان کیف پول خواست میزان در معرض بودن خود را بررسی و نسخه‌های لازم را ارتقا دهند.
Intersect، سازمانی که از توسعه و حاکمیت بلاک‌چین کاردانو پشتیبانی می‌کند، بخش اعضای خود را موقتاً آفلاین کرد تا احتمال آسیب‌پذیری را ارزیابی کند. این صفحه در زمان تهیه گزارش همچنان در دسترس نبود.
در مقابل، جف لانگهوفر، مدیر ارشد امنیتی کوین‌بیس، گفت این شرکت هیچ نشانه‌ای از وجود نمونه‌های آسیب‌پذیر در معرض خطر پیدا نکرده است. او افزود کوین‌بیس پس از شنیدن خبر چنین آسیب‌پذیری‌هایی، بررسی کامل خودکار انجام می‌دهد و با تأمین‌کنندگان ثالث نیز برای اطمینان بیشتر همکاری می‌کند. شرکت زیرساخت دارایی دیجیتال BitGo هم اعلام کرد پلتفرمش تحت تأثیر این نقص قرار نگرفته است.
چانگ‌پنگ ژائو، هم‌بنیان‌گذار بایننس، به کاربران اینترنت هشدار داد در چند روز بعد هنگام بازدید از هر وب‌سایت احتیاط بیشتری داشته باشند، زیرا ممکن است برخی مدیران هنوز وصله‌های امنیتی را نصب نکرده باشند. OpenAI نیز یک مهارت Codex منتشر کرده است که اپراتورها می‌توانند با استفاده از آن نسخه‌های بالقوه آسیب‌پذیر PHP و به‌روزرسانی‌های مربوط را بررسی کنند؛ این ابزار از طریق GitHub در دسترس است.
تصویر بازار طبق داده‌های Moneyiar
داده‌های Moneyiar در ساعت ۲۳:۱۸ تا ۲۳:۱۹ روز ۲۲ اکتبر ۲۰۲۶ نشان می‌دهد قیمت Decimal با نماد DEL برابر ۰٫۴۵۸۴۴۲۵۸۴ دلار بوده و در ۲۴ ساعت ۱٫۸۵ درصد و در هفت روز ۱٫۵۴ درصد افزایش داشته است. قیمت AKEDO با نماد AKE به ۰٫۰۳۱۲۳۶۸۵۳۵ دلار رسیده؛ این دارایی در ۲۴ ساعت ۲۸٫۹۵ درصد رشد کرده، اما تغییر هفت‌روزه آن منفی ۵٫۶۸ درصد بوده است.
در همین داده‌ها، Allora با نماد ALLO با قیمت ۰٫۱۹۵۵۴۱۳۷۴۴ دلار، افت ۷٫۰۵ درصدی در ۲۴ ساعت و کاهش ۱۴٫۶ درصدی در هفت روز را ثبت کرده است. Ontology با نماد ONT نیز ۰٫۰۵۲۱۸۷۸۴۵۲ دلار قیمت داشته و تغییر آن در ۲۴ ساعت منفی ۴٫۲۴ درصد و در هفت روز منفی ۱٫۷۵ درصد بوده است. این ارقام صرفاً تصویر بازار در زمان اعلام‌شده را نشان می‌دهند و ارتباطی با نتیجه امنیتی آسیب‌پذیری PHP ندارند.
