مؤخرًا، شهد مجتمع مطوري PHP إطلاق تحديثات أمنية بالغة الأهمية لمعالجة ثغرات تنفيذ التعليمات البرمجية عن بُعد (RCE). هذه الثغرات، التي وصفها الكثيرون بالحرجة، دفعت فرق الأمان للعمل بسرعة لضمان حماية ملايين التطبيقات. في هذا السياق، شارك فولكر دوش، مهندس أمان الذكاء الاصطناعي المقيم في فريق أمان نظام PHP البيئي التابع لمؤسسة PHP، تفاصيل مهمة حول هذه الأحداث.
كيف تم اكتشاف الثغرات؟
بدأ الكشف عن هذه الثغرات ضمن برنامج «Patch the Planet» الخاص بـ OpenAI. قامت شركة «Calif» الأمنية بإجراء تدقيق لـ PHP، وسرعان ما اكتشفت استغلالًا أوليًا يعمل في حاوية Docker. بعد تأكيد الفريق الأمني لـ PHP للخطورة، قدمت OpenAI و Wiz مزيدًا من متجهات الهجوم التي تشترك في نفس السبب الجذري.
تحديات التنسيق وخرق الحظر
أوضح فولكر أن عملية إصلاح PHP أكثر تعقيدًا من مجرد تحديث للمتصفح. فمشروع PHP يشحن التعليمات البرمجية المصدرية، وهذا يعني أن الإصلاح يجب أن يمر عبر قنوات توزيع متعددة مثل Debian و Ubuntu و Red Hat وصور Docker الرسمية. بسبب خطورة الثغرات، عمل الفريق أيضًا على تنسيق تحديثات للإصدارات القديمة التي لم تعد PHP تدعمها.
تضمن التنسيق أيضًا التواصل مع كبار مزودي الخدمات السحابية وبائعي جدران الحماية لتطبيقات الويب مثل Cloudflare، لتمكينهم من شحن قواعد الحماية قبل تاريخ الإصدار الرسمي، وهو ما يوفر طبقة حماية للمواقع التي قد لا تحدث أنظمتها على الفور.
للأسف، لم تسر الأمور بسلاسة دائمًا. فقد قام Chainguard بخرق الحظر ونشر صورًا مصححة قبل أكثر من ست ساعات من الإصدار المنسق. أشار فولكر إلى أن هذا يسرع بشكل كبير من تحويل أي تحديث أو ملف ثنائي إلى استغلال عملي. كما تم تداول العديد من لقطات الشاشة لاستغلالات مزيفة على وسائل التواصل الاجتماعي، حيث أكد فولكر أن معظمها كان يعمل فقط على حاويات Docker معدلة خصيصًا، وليس على الصور الافتراضية.
برأينا، هذا يسلط الضوء على ضرورة الحذر الشديد عند التعامل مع معلومات الأمان، وأن المطورين يجب أن يستخدموا الذكاء الاصطناعي كأداة لتحسين عملهم وليس لتفويض التفكير للآلة بالكامل.
ماذا يعني هذا للمطورين؟
بالإضافة إلى الإصلاحات الأساسية، أصدر فريق PHP إشعارًا متابعًا يوصي بتعيين `session.upload_progress.enabled=0` حتى الإصدار التصحيحي التالي. كان هذا الإعداد بالفعل أحد التخفيفات المقترحة في الإشعار الأولي، لذا إذا كنت قد طبقته بالفعل، فلا داعي لاتخاذ أي إجراء إضافي.
أكد فولكر على الدور الحيوي للمطورين مثل إيليا وأرنو وجاكوب، الذين عملوا لساعات طويلة في كود C الخاص بـ PHP. هذا العمل المستمر ممكن بفضل مؤسسة PHP، ونرى أن دعم الشركات والمطورين لهذه المؤسسة أمر بالغ الأهمية لضمان استمرار أمان وسلامة PHP، لغة البرمجة التي يعتمد عليها الكثير منا.
تأكد من تحديث خوادمك إلى أحدث إصدارات PHP المصححة في أقرب وقت ممكن. طبق توصية `session.upload_progress.enabled=0` إذا لم تكن قد فعلت ذلك بالفعل. تذكر أن الاستجابة السريعة للتحديثات الأمنية هي خط الدفاع الأول ضد هذه الأنواع من الهجمات.
المصدر: laravel-news.com