ثغرات PHP خطيرة: تحديثات طارئة في 21 أكتوبر

بحسب ما نقلته Ars Technica، أظهر تقرير غير مؤكد مقطع فيديو لأداة استغلال تُسمى PHP2Shell تنفّذ شيفرة على خوادم ويب تشغّل WordPress 7.1.3 وMediaWiki 1.46.2 وphpBB 3.3.17 وMagento 2.4.9 وJoomla 6.2.0 وLaravel 13.36.0 وLaravel 8.83.29 وSymfony 8.1.9 وDrupal 11.4.10 وWHMCS 9.0.9، وكلها تعتمد على PHP. وأوضحت Ars Technica أنها لم تتمكن من العثور على التقرير الأصلي.

التوقيت يضع شركات الأمن في حالة تأهّب. فقد قال باحثون في Sansec إنهم يتوقعون بدء هجمات واسعة خلال 15 دقيقة من صدور التحديث، في حين أصدرت Webfence وHuntress وwatchTowr إشعارات تحثّ المديرين على الاستعداد. ونقلت Ars Technica عن أحد الباحثين الأمنيين تقديره أن نحو 1.3 مليون مضيف متصل بالإنترنت مرشّح للتأثر.

تشمل الاستعدادات الموصى بها تحديد المسؤول عن إدارة PHP داخل مؤسستك، وحصر كل التطبيقات المبنية على هذه اللغة، وتخطيط نافذة صيانة تنطلق من الساعة 14:00 بالتوقيت العالمي مع خطة بديلة في حال صدور الإصدار مبكراً. يُنصح كذلك بأخذ نسخة احتياطية من ملفات الموقع وقاعدة البيانات قبل التحديث، ويرى بعض الخبراء فصل الأنظمة غير الضرورية حتى تركيب الإصلاحات.

على المسؤولين متابعة الصفحة الرئيسية لموقع PHP.net وقائمة البريد الإعلانية ANNOUNCE للمشروع لرصد أي تغييرات طارئة، بما في ذلك احتمال تقديم موعد الإصدار. وبالنظر إلى المعلومات المسرّبة، ينبغي لكل من يدير موقعاً أو أداة داخلية مبنية على PHP أن يتعامل مع هذا الأمر كتحديث عاجل لا كإجراء روتيني.

إذا كنت تدير موقعاً أو متجراً إلكترونياً أو أداة داخلية مبنية على PHP أو WordPress أو Joomla أو Drupal أو ما شابهها، فهذا تحديث لا ينبغي تأجيله. من المتوقع صدور التحديثات غداً عند الساعة 14:00 بالتوقيت العالمي الموحّد، لكن PHP قد تطلقها أبكر، لذا تحقّق من التحديثات على مدار اليوم وثبّتها فور ظهورها.

لا يوجد حتى الآن إشعار محلي خاص بتونس، لكن على كل مزود استضافة أو وكالة أو شركة تشغّل خدمات مبنية على PHP أن تخطط لنافذة صيانة وأن تحدد بوضوح من سيتولى تطبيق الإصلاح. وتصف watchTowr وSansec وشركات أخرى هذه الثغرات بأنها حقيقية وخطيرة، حتى إن لم يُؤكَّد أي استغلال فعلي حتى الآن.