توضیح دهنده-PHP چیست و چرا وب سایت های دولتی را آفلاین کرد؟

21 اکتبر - وب سایت های دولتی در سراسر اروپا روز چهارشنبه تاریک شدند زیرا اپراتورها برای اصلاح دو آسیب پذیری مهم در PHP، یکی از پرکاربردترین زبان های برنامه نویسی در وب، تلاش کردند.

توسعه دهندگان PHP روز چهارشنبه گفتند که اصلاحیه‌هایی را برای دو آسیب‌پذیری حیاتی منتشر خواهند کرد و مقامات امنیت سایبری اتحادیه اروپا به سازمان‌ها هشدار دادند که قادر به اعمال اصلاحات برای آفلاین کردن وب‌سایت‌های آسیب‌دیده نیستند. در اینجا چیزی است که شما باید بدانید:

PHP یک زبان برنامه نویسی است که وب سایت ها را اجرا می کند. در پشت صحنه کار می کند. هنگامی که کاربر صفحه ای را بارگذاری می کند، سروری که PHP را اجرا می کند، محتوا را جمع آوری کرده و صفحه تمام شده را به مرورگر ارسال می کند.

این رایگان، منبع باز است و توسط داوطلبان نگهداری می شود. صاحبان سایت به ندرت مستقیما با آن تعامل دارند.

به گفته ردیاب فناوری وب W3Techs، PHP نزدیک به 70 درصد از تمام وب سایت هایی را که زبان برنامه نویسی آنها قابل شناسایی است، اجرا می کند. این موتور پشت وردپرس است، نرم افزاری که حدود 40 درصد از تمام وب سایت ها مانند وبلاگ ها، صفحات مشاغل کوچک، پورتال های دولتی، فروشگاه های آنلاین و سایت های خبری را تامین می کند.

این دو آسیب‌پذیری در مقیاس شدت CVSS v4.0، یک سیستم استاندارد امتیازدهی صنعت، دارای امتیاز 9.2 از 10 هستند. CERT-EU، تیم پاسخگویی امنیت سایبری اتحادیه اروپا، گفت که رتبه‌بندی اجرای کد از راه دور تأیید نشده را سیگنال می‌دهد، به این معنی که مهاجم می‌تواند دستورات را روی سرور آسیب‌پذیر، از طریق اینترنت، بدون رمز عبور یا حساب اجرا کند.

تنها یک نقص در PHP همان در را به روی میلیون ها سرور به طور همزمان باز می کند. هر کسی که از نقص استفاده کند وب سایت را کنترل می کند. GoDaddy، یک ارائه دهنده میزبانی وب، گفت که این می تواند به معنای داده های سرقت شده، صفحات مخدوش یا به خطر افتادن تمام سیستم باشد. مدیر ارشد فناوری Cloudflare گفت که حملات اولیه در حال ظهور هستند.

اکثر وب‌سایت‌های کوچک معمولا توسط مالکانی بدون کارکنان امنیتی اداره می‌شوند، اغلب در هاست مشترکی که سرور را مدیریت نمی‌کنند و ممکن است ندانند چه کسی PHP را به‌روزرسانی می‌کند. Wordfence، یک افزونه امنیتی برای سایت‌های وردپرس، هشدار داد که به‌روزرسانی‌های خودکار معمول، این اصلاح را اعمال نمی‌کنند. راهنمایی CERT-EU این است که سایت‌های آسیب‌دیده را آفلاین کنید تا اینکه آنها را در معرض دید قرار دهید.

به گفته این شرکت، محققان شرکت امنیتی Calif که با OpenAI کار می کنند، اولین نقص را در 11 آگوست پس از یافتن آن در مدل GPT-5.6 Sol OpenAI به PHP گزارش کردند. Wiz، یک شرکت امنیتی متعلق به گوگل آلفابت، به طور مستقل این نقص ها را پیدا کرد و دومین مورد را در 24 آگوست گزارش کرد که همچنین از مدل های هوش مصنوعی استفاده می کرد.

ویز گفت این یافته‌ها «در میان شدیدترین آسیب‌پذیری‌های کشف‌شده در PHP و احتمالا در تاریخ نرم‌افزار قرار دارند». به گفته این شرکت، نقص‌های اساسی دهه‌ها وجود داشته است، اما اثبات قابل بهره‌برداری بودن آنها مستلزم زنجیره‌ای از مراحل «در لبه آنچه محققین انسانی عملا می‌توانستند به دست آورند» است.

دولت دونالد ترامپ، رئیس‌جمهور ایالات متحده، با اشاره به نام ترجیحی ترامپ برای هوش مصنوعی، گفت: «در حال پیگیری و هماهنگی با آژانس‌های فدرال و آزمایشگاه‌های SI برای تسریع انتشار این اصلاحیه». این اکتشاف را به عنوان شواهدی مبنی بر اینکه "ابر اطلاعات" آمریکا امنیت ملی را تقویت می کند، در نظر گرفت. رویترز