دو نقص امنیتی بحرانی در PHP این روزها به صدر اخبار حوزه امنیت تبدیل شده‌اند. در این مطلب با این اتفاق بیشتر آشنا می‌شوید.

طی روزهای اخیر، هشدارهای امنیتی پیاپی و خاموش‌شدن غیرمنتظره درگاه‌های دولتی و سرویس‌های آنلاین در سراسر جهان توجه کارشناسان را به خود جلب کرده است. ریشه این بحران جهانی به کشف دو نقص امنیتی بنیادین در زبان برنامه‌نویسی PHP بازمی‌گردد؛ فناوری باقدمتی که ستون فقرات بخش وسیعی از اینترنت را تشکیل می‌دهد. چیزی که این حادثه را در صدر اخبار قرار داده، نه فقط گستردگی آن، بلکه شیوه کشف این شکاف‌های ده‌ساله توسط نسل جدید مدل‌های هوش مصنوعی است. در ادامه این مطلب به زبان ساده بررسی می‌کنیم که زبان PHP چیست، این رخنه‌ها چه خطراتی به همراه دارند و پشت پرده شناسایی آنها چه گذشته است.

زبان برنامه‌نویسی PHP چیست و چرا زیرساخت اینترنت به آن وابسته است؟
زبان PHP (کوتاه‌شده عبارت PHP: Hypertext Preprocessor) یک زبان برنامه‌نویسی رایگان، متن‌باز و سمت سرور است که توسط جامعه‌ای از داوطلبان نگهداری می‌شود. این فناوری کاملاً در پشت‌صحنه و خارج از دید عمل می‌کند؛ یعنی زمانی که کاربری آدرس صفحه‌ای مانند ویکی‌پدیا را باز می‌کند، کدهای PHP روی سرور فعال می‌شوند، داده‌های متنی و تصویری را از پایگاه‌های داده جمع‌آوری می‌کنند و صفحه نهایی و پردازش‌شده را در کسری از ثانیه به مرورگر کاربر تحویل می‌دهند. مدیران یا بازدیدکنندگان وب‌سایت‌ها عملاً ارتباط مستقیمی با این لایه ندارند.

براساس داده‌های ارزیاب فناوری وب W3Techs، زبان PHP در حدود ۷۰ درصد از وب‌سایت‌هایی که زبان برنامه‌نویسی آنها قابل شناسایی است به کار رفته است. مهم‌تر از همه، PHP موتور محرک وردپرس محسوب می‌شود؛ سیستم مدیریت محتوایی که به‌تنهایی حدود ۴۰ درصد از کل وب‌سایت‌های جهان از جمله وبلاگ‌ها، درگاه‌های خدمات دولتی، پایگاه‌های خبری و فروشگاه‌های آنلاین را میزبانی می‌کند. این حضور گسترده یعنی یک لغزش فنی در ساختار PHP، تهدیدی مشترک برای بخش اعظمی از ترافیک اینترنت ایجاد خواهد کرد.

ابعاد خطرات و امتیاز شدت بحران
دو آسیب‌پذیری کشف‌شده، براساس سیستم استاندارد امتیازدهی آسیب‌پذیری‌ها (CVSS v4.0)، نمره بحرانی ۹.۲ از ۱۰ را به خود اختصاص داده‌اند. تیم واکنش به فوریت‌های کامپیوتری اتحادیه اروپا (CERT-EU) اعلام کرد که این امتیاز قابلیت اجرای دستور از راه دور بدون احراز هویت را نشان می‌دهد. به بیان ساده، هکر می‌تواند از طریق اینترنت و بدون داشتن هیچ‌گونه گذرواژه‌ای، حساب کاربری یا دسترسی قبلی، روی سرور آسیب‌پذیر فرمان‌های اجرایی دلخواه را اجرا کند.

بنابراین یک باگ در PHP به شکل هم‌زمان ورودی مشترکی را روی میلیون‌ها سرور در سراسر جهان باز می‌کند و کنترل کامل وب‌سایت را در اختیار هکرها قرار می‌دهد.

شرکت میزبانی وب GoDaddy هشدار داده که پیامد این نفوذها می‌تواند سرقت پایگاه داده‌های محرمانه، تخریب کامل صفحات یا تسلط بر کل سیستم سرور باشد. خطرسازترین سناریو برای سایت‌های کوچک و کسب‌وکارهایی مطرح شده که تیم امنیتی مجزا ندارند و روی فضاهای هاست اشتراکی فعالیت می‌کنند؛ کاربرانی که غالباً حتی هویت مدیر به‌روزرسانی سرور را نمی‌دانند. علاوه‌براین، به گفته توسعه‌دهندگان افزونه Wordfence، به‌روزرسانی‌های خودکار رایج در پلتفرم‌هایی نظیر وردپرس برای مهار این رخنه کارایی ندارند و مدیران باید هسته نرم‌افزار را تغییر دهند.

خاموشی وب‌سایت‌ها؛ از ادینبرو و فنلاند تا دانشگاه ژنو
شدت ریسک ناشی از این حفره‌ها باعث شد نهادهای نظارتی دستورالعمل‌های احتیاطی فوری صادر کنند. نهاد CERT-EU صراحتاً توصیه کرد پایگاه‌هایی که توانایی دریافت و اجرای سریع پچ امنیتی را ندارند، تا زمان برطرف شدن خطر فوراً از دسترس خارج شوند. در‌همین‌راستا، درگاه‌های دولتی متعددی در اروپا به حالت خاموشی رفتند. در بریتانیا، وب‌سایت‌های بی‌بی‌سی، شورای شهر ادینبرو و شماری از شوراهای محلی و هیئت‌های سلامت اسکاتلند سایت‌های عمومی خود را آفلاین کردند.

در سطح بین‌المللی نیز بنیاد ویکی‌مدیا بخشی از سامانه‌های آنلاین خود را به‌طور موقت قطع کرد. دولت فنلاند، آژانس ملی امنیت سایبری هلند و دانشگاه ژنو نیز تدابیر پیشگیرانه مشابهی به کار گرفته‌اند. آژانس امنیت ملی ایالات متحده (NSA) ضمن هشدار به تمامی نهادهای دولتی، اعلام کرد این باگ مسیری مستقیم برای نفوذ به پایگاه‌های اطلاعاتی فراهم می‌کند.

دولت ژاپن و نهادهای سایبری سنگاپور و استرالیا نیز از اپراتورهای شبکه خواستند فوراً موقعیت سرورهای خود را بازبینی کنند.

هوش مصنوعی چگونه آسیب‌پذیری‌های تاریخی PHP را افشا کرد؟
رخنه‌های امنیتی اخیر برای دهه‌ها در کدهای نرم‌افزار پنهان بوده است، اما نکته مهم نه به قدیمی بودن باگ‌ها، بلکه به ابزار کشف آن‌ها مربوط می‌شود. پژوهشگران شرکت امنیتی Calif با بهره‌گیری از مدل GPT-5.6 Sol توسعه‌یافته توسط شرکت OpenAI، نخستین نقص فنی را در تاریخ ۱۱ آگوست به تیم PHP گزارش دادند. به‌طور مستقل، شرکت امنیتی Wiz (متعلق به گوگل) نیز با اتکا به مدل‌های هوش مصنوعی آسیب‌پذیری دوم را ردگیری و در ۲۴ آگوست ثبت کرد.

طبق بیانیه کارشناسان Wiz، اثبات قابلیت سوءاستفاده از این باگ‌ها به پیمودن زنجیره‌ای طولانی از مراحل فنی نیاز داشته که انجام آنها توسط انسان‌ها دشوار بوده است. شرکت OpenAI این اتفاق را نمونه‌ای تاریخی از توانایی هوش مصنوعی در پویش کدهای حجیم و درعین‌حال هشداری درباره خطر توسعه ابزارهای حمله با این فناوری توصیف کرده است.

با انتشار نسخه‌های به‌روزرسانی‌شده، توسعه‌دهندگان PHP اعلام کردند که کاربران باید فوراً سامانه‌های خود را اصلاح کنند. مسئولیت اصلی این ایمن‌سازی بر دوش مدیران سرور و صاحبان وب‌سایت‌ها است؛ چرا که به‌روزرسانی‌های خودکار مرسوم در ابزارهایی مانند وردپرس این رخنه ساختاری را پوشش نمی‌دهند و کارشناسان فنی باید مستقیماً نسخه PHP نصب‌شده را تغییر دهند.

هم‌زمان با اعمال پچ امنیتی، بررسی ساختار سرور برای شناسایی رخنه‌های قبلی ضرورت دارد؛ زیرا ممکن است هکرها پیش از انتشار به‌روزرسانی نفوذ کرده و اقدام به نصب درهای پشتی یا ابزارهای جاسوسی کرده باشند. برای کاربران عادی نیز، با وجود اینکه کنترل فنی سرورها در دست آنها نیست، حفظ هشیاری ضروری خواهد بود. به گفته کارشناسان، کاربران وب باید نسبت به هرگونه درخواست مشکوک تغییر پسورد یا کمپین‌های فیشینگ و پیام‌های جعلی که با سوءاستفاده از اخبار این آسیب‌پذیری در پی سرقت اطلاعات هستند، نهایت احتیاط را به کار گیرند.