AWS ترصد محاولة استغلال ثغرتي PHP2Shell في 17 أكتوبر قبل الإفصاح العلني

يوم 17 أكتوبر، قبل أربعة أيام من إعلان إصلاح ثغرتين حرجتين في لغة PHP (وفقاً لـ Wired)، كان طرف مجهول يجرّب استغلالهما على أحد خوادم الطُّعم التابعة لـ Amazon Web Services، بحسب بحث نشرته AWS مساء يوم الإعلان. تُعرف الثغرتان معاً باسم PHP2Shell. وتقديرنا في موجز أن هذه الواقعة أخطر من الضجة التي رافقت الترقيع نفسه، لأنها تضرب الافتراض الذي يقوم عليه الإفصاح المنسق كله: أن المدافعين يبدأون السباق قبل المهاجمين. والتفسير الذي تقدمه AWS، أي تسارع بناء أدوات الاستغلال بفضل الذكاء الاصطناعي، يشرح جزءاً من القصة فقط.

الأربعاء، يوم صدور الإصلاحات، كان يوم استنفار. بحسب Wired، سارع مديرو الأنظمة وفرق الأمن إلى حصر المواقع والتطبيقات المعرّضة للثغرتين الحرجتين في PHP وترقيعها، فيما كان المهاجمون كالعادة يفككون الإصلاحات بالهندسة العكسية ليفهموا كيف تُستغل الثغرات. وذهبت بعض الحكومات وجهات أخرى أبعد من ذلك، فأوقفت مواقع رئيسية عن العمل استباقاً للإعلان حتى لا تُستهدف قبل أن تطبّق الترقيعات، بحسب Wired.

لم تكتشف AWS محاولة 17 أكتوبر لحظة وقوعها، بل بأثر رجعي. بحسب الشركة، راجع محللوها يوم الأربعاء نشاط أحد مواقع الطُّعم (honeypots)، وهي خوادم ويب مكشوفة عمداً وأفخاخ رقمية تساعد الباحثين على دراسة أساليب الهجوم واتجاهاته، ويحمل نظامها اسم MadPot. جاءت المحاولة من عنوان IP تقول AWS إنه مرتبط بـ”شبكة إخفاء هوية تجارية”، أي شبكة بروكسي أو خدمة VPN. وكتب CJ Moses، كبير مسؤولي أمن المعلومات في AWS: “بينما كانت الثغرة تحت الحظر، يشير استهداف موقع طُعم من عنوان IP مُخفى الهوية إلى أن النشاط نفّذه طرف تهديد، رغم أنه لا يزال من غير الواضح كيف حصل هذا الطرف على معلومات الاستغلال قبل الكشف”. ويجب قول الأمر بوضوح: رواية الاستغلال المبكر تقوم بحسب مصدر وحيد هو AWS على بيانات أفخاخها الخاصة، وهي ملاحظات معلنة من الشركة نفسها لم يتسنَّ التحقق منها بشكل مستقل.

الساعات التي سبقت الإعلان كانت أكثر ازدحاماً. بحسب Wired، بدأت أكواد إثبات المفهوم (proof-of-concept) تظهر علناً يوم الأربعاء، وبدا أن بعضها نُشر قبل ساعات من موعد الكشف الرسمي في العاشرة صباحاً بتوقيت شرق الولايات المتحدة (وفقاً لـ Wired). وفي تلك الساعات تلقت أفخاخ AWS، بحسب الشركة، محاولات استغلال متعددة أُخفيت هويتها عبر مزودين مختلفين وبدت لها أهداف هجومية متباينة، ما يرجّح وجود عدة أطراف لا طرف واحد. غير أن Moses وضع حداً لهذه القراءة: “التحليل التقني مستمر، ومن غير الواضح ما إذا كانت أي من هذه المحاولات ستنجح على أنظمة حقيقية”. ثم أضاف أن “PHP2Shell يُستغل الآن على نطاق واسع في البيئات الفعلية”. أما مؤسسة PHP فلم ترد فوراً على طلب Wired للتعليق.

رغم أن AWS لا تعرف كيف وقع استغلال 17 أكتوبر ولا مصدره، فإنها تبني عليه حجة أوسع: الإفصاح المنسق عن الثغرات يجب أن يتطور ويتسارع، لأن أدوات الذكاء الاصطناعي المتاحة عالمياً تسرّع تحليل الثغرات وتسمح لأطراف أقل خبرة تقنية بتطوير أدوات استغلال جديدة بسرعة. يكتب Moses: “الوقت بين صدور الترقيع وظهور استغلال فعّال يتقلص لأسباب هيكلية. في الماضي كان معظم الاستغلال الذي رصدناه يأتي بعد نشر إثبات مفهوم علني. عدد صغير من الأطراف القادرة كان يبني أدوات الاستغلال، والبقية ينتظرونهم. هذه التبعية تضعف. التحليل بمساعدة الذكاء الاصطناعي يجعل تحويل فروقات الترقيع أو النشرة الأمنية إلى استغلال فعّال أرخص، ونتيجة لذلك يستطيع عدد أكبر من الأطراف التحرك خلال ساعات أو حتى دقائق من الكشف عن التفاصيل التقنية لأي ثغرة”.

هذه الحجة تصف يوم الأربعاء بدقة، لكنها لا تفسّر 17 أكتوبر. في ذلك اليوم لم يكن هناك ترقيع منشور يُفكك، ولا نشرة أمنية تُعطى لنموذج لغوي. يبقى إذن احتمالان، كلاهما مقلق: تسرّب من داخل دائرة الحظر، أو اكتشاف مستقل للثغرة قبل إعلانها. وفي الحالتين لا تكفي دعوة تسريع الإفصاح وحدها، فالمشكلة قد تكون في من يعرف قبل الإعلان، لا في سرعة الإعلان. وإذا كنت تدير خوادم تعمل بـ PHP، فالترقيع يوم الأربعاء ليس نهاية القصة: راجع سجلاتك بدءاً من 17 أكتوبر على الأقل، وتعامل مع أي نظام كان مكشوفاً قبل الترقيع على أنه ربما اختُرق حتى يثبت العكس.

مقالات ذات صلة

Recursive تطلق Flint مجاناً للحواسب المحمولة وتقول إن نظامها الآلي بناه

اليوم

صفحات واتساب تكشف تعليمات تمنع روبوت Meta من توجيه المستخدمين للجهات الرقابية

اليوم

ElevenLabs تطلق نماذج Eleven Realtime بنسختي Mini وMax متوافقتين مع OpenAI

اليوم