جهان در آستانه آخرالزمانی اینترنت؟

چهارشنبه گذشته، فناوری چنددهه‌ای پی‌اچ‌پی (PHP) تا آستانه بحرانی پیش رفت که می‌توانست بخش بزرگی از اینترنت را مختل کند. دو آسیب‌پذیری امنیتی که سال‌ها پنهان مانده بودند، پس از آنکه پژوهشگران راه سوءاستفاده از آنها را پیدا کردند، به تهدیدی جدی برای وب‌سایت‌ها و سرورهای متصل به اینترنت تبدیل شدند.

این دو نقص که «پی‌اچ‌پی۲شل» (PHP۲Shell) نام گرفته‌اند و با شناسه‌های CVE-۲۰۲۶-۱۰۹۶۱۸ و CVE-۲۰۲۶-۱۰۹۶۱۹ ثبت شده‌اند، به مهاجمان اجازه می‌دهند بدون نیاز به رمز عبور، وارد سامانه‌های آسیب‌پذیر مبتنی بر پی‌اچ‌پی شوند و اطلاعات آنها را دستکاری کنند.

ابعاد تهدید به‌اندازه‌ای گسترده بود که ‌میلیون‌ها نفر و سازمان در سراسر جهان ناچار شدند برای ایمن‌سازی سامانه‌های خود اقدام کنند؛ آن هم پیش از آنکه هکرهای مخرب فرصت بیشتری برای بهره‌برداری از این ضعف‌ها پیدا کنند.

بنیاد پی‌اچ‌پی، نهادی که توسعه و نگهداری این فناوری را بر عهده دارد، روز چهارشنبه وصله‌های امنیتی لازم را منتشر کرد. این وصله‌ها با رفع آسیب‌پذیری‌ها، امکان حمله به سرورهای تحت وب آسیب‌پذیر را از بین می‌برند. این بنیاد پیش از انتشار عمومی اصلاحیه‌ها، فرصتی در اختیار برخی از بزرگ‌ترین شرکت‌های اینترنتی و میزبان‌های وب قرار داده بود تا زودتر سامانه‌های خود را ایمن کنند.

هماهنگی‌های محرمانه و چندهفته‌ای میان فعالان صنعت فناوری باعث شد اینترنت، دست‌کم تاکنون، از موجی گسترده از حملات در امان بماند. بااین‌حال، از روز چهارشنبه دولت‌ها از شهروندان و شرکت‌های دارای وب‌سایت خواستند برای کاهش خطر اقدام کنند. طیف وسیعی از کسب‌وکارها و نهادها، از بانک‌ها و فروشگاه‌های اینترنتی گرفته تا شرکت‌های بازی‌سازی، بیمارستان‌ها و برخی سازمان‌های دولتی، برای جلوگیری از حمله، وب‌سایت‌ها و خدمات خود را موقتا از دسترس خارج کردند.

با وجود این اقدامات، پژوهشگران امنیت سایبری هشدار می‌دهند که بحران هنوز پایان نیافته است. شمار زیادی از سامانه‌ها در نقاط مختلف جهان همچنان به‌روزرسانی نشده‌اند و در برابر نفوذ و سرقت اطلاعات آسیب‌پذیرند. این رویداد همچنین احتمال تکرار بحران‌های مشابه را افزایش داده است؛ به‌ویژه با گسترش ابزارهای هوش مصنوعی که می‌توانند کشف آسیب‌پذیری‌های ناشناخته را آسان‌تر کنند.

چه اتفاقی افتاد؟

پژوهشگران شرکت کالیف (Calif) دو نقص امنیتی را در پی‌اچ‌پی شناسایی کردند؛ زبانی که در سراسر جهان برای ساخت وب‌سایت‌ها و برنامه‌های تحت وب استفاده می‌شود. این فناوری نه‌تنها در وب‌سایت‌های عمومی، بلکه در شبکه‌های داخلی شرکت‌ها و سامانه‌های سازمانی نیز کاربرد دارد.

پی‌اچ‌پی نرم‌افزاری متن‌باز است؛ یعنی استفاده از آن رایگان است و افراد می‌توانند آن را برای اهداف گوناگون به کار بگیرند. رایگان بودن، سادگی نسبی و سابقه طولانی این زبان، از دلایل محبوبیت گسترده آن در توسعه وب بوده است.

این دو آسیب‌پذیری نخستین‌بار در سال ۲۰۲۴ شناسایی شدند، اما در آن زمان پژوهشگران تصور نمی‌کردند بتوان از آنها برای حمله عملیاتی استفاده کرد؛ بنابراین، اصلاح نشدند. اخیرا پژوهشگران راهی برای بهره‌برداری از این نقص‌ها پیدا کردند و موضوع را به توسعه‌دهندگان پی‌اچ‌پی اطلاع دادند.

شرکت کالیف بنیاد پی‌اچ‌پی را در جریان یافته‌های خود قرار داد. بنیاد نیز روند اصلاح آسیب‌پذیری‌ها و اطلاع‌رسانی هماهنگ را آغاز کرد. در این فرایند، اطلاعات فنی و وصله‌های امنیتی تا زمان تعیین‌شده محرمانه نگه داشته شدند تا شرکت‌های بزرگ فرصت داشته باشند پیش از افشای عمومی، اصلاحات لازم را انجام دهند.

چرا این دو آسیب‌پذیری تا این اندازه خطرناک بودند؟

خطر اصلی پی‌اچ‌پی۲شل این بود که مهاجمان می‌توانستند از راه دور و از طریق اینترنت از آن سوءاستفاده کنند؛ بدون آنکه قربانی روی لینکی کلیک کند یا فایلی را باز کند. این نوع نقص امنیتی «اجرای کد از راه دور» (Remote Code Execution) نام دارد. چنین آسیب‌پذیری‌هایی از خطرناک‌ترین ضعف‌های نرم‌افزاری محسوب می‌شوند، زیرا ممکن است به هکری در هر نقطه از جهان امکان دهند کنترل گسترده‌ای بر یک سامانه آسیب‌پذیر و اصلاح‌نشده به دست آورد. موضوع زمانی جدی‌تر می‌شود که مهاجم برای ورود به سامانه به رمز عبور یا هیچ‌گونه اطلاعات احراز هویت دیگری نیاز نداشته باشد. این وضعیت «دسترسی بدون احراز هویت» نامیده می‌شود. در چنین شرایطی، مهاجم می‌تواند بدافزار روی دستگاه نصب کند، اطلاعات را به سرقت ببرد یا راهی برای حفظ دسترسی بلندمدت به سامانه ایجاد کند تا در آینده نیز بتواند به آن بازگردد.

چرا حدود ۷۰ درصد وب تحت‌تاثیر قرار گرفت؟

دلیل اصلی گستردگی این تهدید، محبوبیت چشم‌گیر پی‌اچ‌پی است؛ زبانی که رایگان بودن، سهولت نسبی استفاده و سابقه چنددهه‌ای آن، به گسترش استفاده از این فناوری کمک کرده است. حدود ۷۰درصد وب‌سایت‌های قابل دسترسی از طریق اینترنت به پی‌اچ‌پی متکی هستند؛ هرچند سهم این زبان در سال‌های اخیر، در پی گرایش توسعه‌دهندگان به زبان‌های جدیدتر و امن‌تر، به‌تدریج کاهش یافته است. به‌دلیل همین فراگیری، برخی از وب‌سایت‌های بزرگ جهان با نرم‌افزارهایی کار می‌کنند که به پی‌اچ‌پی وابسته‌اند. وردپرس، که وب‌سایت تک‌کرانچ نیز از آن استفاده می‌کند، در کنار دروپال، جوملا و مدیاویکی از جمله این سامانه‌ها هستند. مدیاویکی نرم‌افزاری است که دانشنامه آنلاین ویکی‌پدیا را پشتیبانی می‌کند.

پی‌اچ‌پی تنها یکی از فناوری‌های قدیمی اما همچنان کاربردی است که از نسل‌های مختلف اینترنت جان سالم به در برده و اکنون به بخشی جدایی‌ناپذیر از زیرساخت آن تبدیل شده است؛ فناوری‌هایی که مانند چسب، اجزای مختلف اینترنت را کنار یکدیگر نگه داشته‌اند.

بسیاری از این ابزارها را توسعه‌دهندگان و نگهدارندگان پروژه‌های متن‌باز تولید می‌کنند؛ افرادی که ممکن است در ازای کار خود دستمزدی دریافت نکنند و توان مالی لازم برای انجام بررسی‌های امنیتی مستقل را نداشته باشند. در همین حال، شرکت‌های بسیاری به این پروژه‌ها وابسته‌اند، بی‌آنکه لزوما سهمی در تامین مالی آنها داشته باشند.

آیا هوش مصنوعی در کشف آسیب‌پذیری‌ها نقش داشت؟

کشف این دو نقص امنیتی به پژوهشگران شرکت کالیف نسبت داده شده است. آنها در اوایل سال جاری میلادی، در جریان بررسی امنیتی کدهای پی‌اچ‌پی، این آسیب‌پذیری‌ها را پیدا کردند. کالیف در ابتکار «هک برای سیاره» (Hack the Planet) شرکت کرده بود؛ برنامه‌ای که از سوی شرکت سازنده مدل‌های هوش مصنوعی، اوپن‌ای‌آی، و شرکت امنیت ابری ویز (Wiz) اجرا می‌شد. ویز در ادامه، نمونه‌های اولیه سوءاستفاده از این آسیب‌پذیری‌ها را که کالیف ارائه کرده بود، تایید کرد.

پژوهشگران کالیف در گزارش فنی خود که با استفاده از تصاویر طنزآمیز نیز همراه شده است، توضیح دادند که هوش مصنوعی در فرآیند بهره‌برداری از این نقص‌ها به آنها کمک کرده، اما بخش عمده کار بر دانش قبلی پژوهشگران استوار بوده است. آنها با کدهای پی‌اچ‌پی و سابقه سوءاستفاده از این فناوری آشنایی عمیقی داشتند.

کالیف در این گزارش تاکید کرد که هیچ مدلی، دست‌کم در شرایط کنونی، صرفا با دریافت چند دستور ساده قادر نیست «تمام باگ‌ها» را کشف کند.

چرا پیش از افشای عمومی، از این آسیب‌پذیری‌ها سوءاستفاده شد؟

با وجود تلاش‌ها برای محرمانه نگه داشتن اطلاعات تا روز چهارشنبه، شواهد نشان می‌دهد که برخی مهاجمان پیش از انتشار وصله‌های امنیتی نیز از آسیب‌پذیری‌های پی‌اچ‌پی۲شل سوءاستفاده کرده بودند. آمازون که به‌دلیل ابعاد فعالیت خود دید گسترده‌ای نسبت به تهدیدهای آنلاین دارد، در یک پست وبلاگی اعلام کرد حدود یک هفته پیش از آماده شدن وصله‌های پی‌اچ‌پی، تلاش‌هایی برای بهره‌برداری از این آسیب‌پذیری شناسایی کرده است. این موضوع نشان می‌دهد فرد یا گروهی، در جایی از جهان، پیش از انتشار عمومی جزئیات نقص‌ها توانسته بود از آنها استفاده کند. آمازون اعلام کرد مشخص نیست مهاجم چگونه از این آسیب‌پذیری‌ها مطلع شده است، اما به مدافعان امنیت سایبری توصیه کرد شواهد احتمالی حمله را از ۱۷ اکتبر به بعد بررسی کنند.

برای توضیح این اتفاق چند فرضیه مطرح شده است. پس از انتشار یک وصله امنیتی، گاهی می‌توان با بررسی تغییرات کد، محل دقیق آسیب‌پذیری را شناسایی کرد. این موضوع به‌ویژه در پروژه‌های متن‌باز اهمیت دارد؛ زیرا کدها در دسترس عموم قرار دارند و هر کسی می‌تواند آنها را بررسی کند. حتی اگر بهره‌برداری از یک نقص دشوار باشد، شناسایی محل آن و نحوه اصلاحش ممکن است به مهاجمان کمک کند روش حمله خود را توسعه دهند.

احتمال دیگر، نشت اطلاعات یا اختلال در روند ارتباطات محرمانه پیش از انتشار عمومی است. جامعه متن‌باز بسیار گسترده است و محرمانه نگه داشتن اطلاعات در چنین محیطی تا حد زیادی به همکاری و حسن‌نیت مشارکت‌کنندگان وابسته است.

همچنین ممکن است مهاجمان پیش از پژوهشگران، به‌طور مستقل یا از طریق جاسوسی، این نقص‌ها را کشف کرده باشند. بنیاد پی‌اچ‌پی، انتشار زودهنگام وصله‌ها از سوی یک شرکت را عامل احتمالی دیگری دانست. به گفته این بنیاد، یک شرکت چند ساعت پیش از پایان‌ دوره محرمانگی، وصله‌ها را منتشر کرده بود؛ اقدامی که در صورت دسترسی زودهنگام مهاجمان به جزئیات اصلاحیه، می‌توانست به آنها فرصت بیشتری بدهد. بااین‌حال، این اتفاق به‌تنهایی فعالیت‌هایی را که آمازون یک هفته پیش‌تر شناسایی کرده بود، توضیح نمی‌دهد. پژوهشگران می‌گویند تبدیل این آسیب‌پذیری‌ها به ابزاری عملی برای حمله به کار و تخصص قابل‌توجهی نیاز داشته است. این کار دشوار بوده، اما غیرممکن نبوده و همین موضوع احتمالا توضیح می‌دهد که چرا تاکنون شاهد سوءاستفاده گسترده در مقیاس جهانی نبوده‌ایم.

بااین‌حال، تا اواخر روز جمعه، شرکت‌های امنیتی پالوالتو نتورکس و تریل آو بیتس موارد تاییدشده‌ای از نفوذ و فعالیت‌های مخرب پس از بهره‌برداری از این آسیب‌پذیری گزارش کردند. به این ترتیب، مشخص شد از این نقص برای ورود غیرمجاز به دست‌کم یک هدف نامشخص و انجام فعالیت‌های مخرب استفاده شده است.

بخش‌هایی از اینترنت از دسترس خارج شدند؛ آیا از بدترین سناریو گریختیم؟

هنوز برای نتیجه‌گیری قطعی زود است، اما نبود شواهدی از حملات گسترده در مقیاس جهانی، نشانه‌ای امیدوارکننده به شمار می‌رود. بااین‌حال، خطر هنوز برطرف نشده است. متیو پرینس، مدیرعامل کلادفلر، شرکت فعال در حوزه امنیت و پایش شبکه، اعلام کرد که پس از افشای آسیب‌پذیری‌ها، شمار تلاش‌ها برای سوءاستفاده از آنها به‌صورت تصاعدی افزایش یافته است. کلادفلر به‌دلیل پوشش گسترده بخش‌هایی از اینترنت، دید قابل‌توجهی نسبت به این فعالیت‌ها دارد. اظهارات پرینس نشان می‌دهد مهاجمان با چه سرعتی در پی بهره‌برداری از چنین ضعف‌هایی هستند. پی‌اچ‌پی فقط در سرورهای وب به کار نمی‌رود. این فناوری در ابزارهای توسعه‌دهندگان، بسته‌های خط فرمان و ترمینال و همچنین برخی اجزای نرم‌افزاری روترها، تجهیزات ذخیره‌سازی و محصولات امنیتی سازمانی، از جمله فایروال‌ها و شبکه‌های خصوصی مجازی (وی‌پی‌ان)، نیز استفاده می‌شود. انتظار می‌رود در آینده نیز تلاش‌هایی برای بهره‌برداری از پی‌اچ‌پی۲شل ادامه پیدا کند؛ به‌ویژه در سامانه‌هایی که تیم‌های فناوری اطلاعات کوچک یا توسعه‌دهندگان مستقل مسوول نگهداری آنها هستند و ممکن است به‌روزرسانی را با تاخیر انجام دهند. علاوه بر این، شرکت‌هایی که پی‌اچ‌پی را در محصولات و نرم‌افزارهای خود ادغام کرده‌اند، باید سامانه‌هایشان را اصلاح کنند.

هرچه دستگاه‌ها و سامانه‌های بیشتری به‌روزرسانی شوند، دامنه احتمالی حمله به‌تدریج محدودتر خواهد شد. بااین‌حال، پیامدهای این آسیب‌پذیری‌ها ممکن است تا سال‌ها باقی بماند؛ به‌ویژه در سامانه‌های قدیمی‌ای که امکان به‌روزرسانی ندارند.

آیا این اتفاق تکرار خواهد شد؟

این رویداد یکی از معدود روزهایی بود که در دوران فعالیت من به‌عنوان خبرنگار حوزه امنیت سایبری، اینترنت را تا مرز توقف پیش برد. در سال ۲۰۱۶، یک بات‌نت عظیم با ارسال حجم انبوهی از ترافیک بی‌ارزش به شرکت داین، فعال در حوزه زیرساخت نام دامنه اینترنت، باعث شد بسیاری از سرویس‌های بزرگ وب با اختلال جدی مواجه شوند. در سال ۲۰۱۷، کره‌شمالی با استفاده از ابزارهای هک دولت آمریکا که افشا شده بودند، سامانه سلامت بریتانیا را به باج‌افزار آلوده کرد. در سال ۲۰۲۴ نیز انتشار یک به‌روزرسانی معیوب از سوی کراوداسترایک، اختلالی جهانی ایجاد کرد که باعث از کار افتادن شمار زیادی از رایانه‌های ویندوزی شد.

بر اساس شواهد موجود، اینترنت در ماجرای پی‌اچ‌پی۲شل از بحرانی که می‌توانست به رویدادی بسیار مخرب و پرهزینه تبدیل شود، جان سالم به در برده است. اما بعید است این آخرین حادثه بزرگ امنیتی در اینترنت باشد. حتی ممکن است این رویداد آغاز موجی از حملات باشد که ضعف‌های فناوری‌های قدیمی را هدف می‌گیرند؛ فناوری‌هایی که نقص‌های ذاتی آنها هنوز کشف نشده‌اند و ابزارهای هوش مصنوعی می‌توانند یافتن این نقص‌ها را آسان‌تر کنند.

پی‌اچ‌پی، مانند بسیاری از زبان‌ها و فناوری‌های برنامه‌نویسی وب که چند دهه پیش توسعه‌یافته‌اند، از جمله فناوری‌های «ناایمن از نظر حافظه» (Memory-unsafe) است. این اصطلاح به نرم‌افزارهایی اشاره دارد که ممکن است در معرض دسته‌ای از آسیب‌پذیری‌ها قرار بگیرند؛ آسیب‌پذیری‌هایی که می‌توانند باعث افشای اطلاعات حساس ذخیره‌شده در حافظه نرم‌افزار شوند.

آژانس امنیت ملی آمریکا اعلام کرده است که حدود ۷۵درصد آسیب‌پذیری‌هایی که به‌طور فعال مورد سوءاستفاده قرار می‌گیرند، از ضعف‌های مرتبط با حافظه بهره می‌برند. به بیان دیگر، این دسته از آسیب‌پذیری‌ها سهم قابل‌توجهی در حملات سایبری دارند. این نگرانی‌ها به حرکت صنعت فناوری به سمت زبان‌های برنامه‌نویسی ایمن از نظر حافظه، مانند پایتون، راست و سوئیفت، کمک کرده است. این زبان‌ها در برابر دسته گسترده‌ای از آسیب‌پذیری‌های حافظه که نسل‌های پیشین فناوری را تهدید می‌کنند، مصونیت بیشتری دارند.

بااین‌حال، بخش بزرگی از اینترنت همچنان بر فناوری‌های قدیمی متکی است؛ از پی‌اچ‌پی گرفته تا کدک‌های صوتی و تصویری، کتابخانه‌های فشرده‌سازی و دیگر اجزای نرم‌افزاری که دهه‌ها پیش ساخته شده‌اند. اختلال در هر یک از این اجزا می‌تواند پیامدهایی گسترده برای کل اینترنت به همراه داشته باشد.