في هذا المقال
استيقظ كثيرون حول العالم يوم الأربعاء على أنباء عن وجود ثغرة أمنية قابلة للاستغلال في لغة البرمجة PHP، وهي لغة لم يسمع بها معظم الناس، لكنها تشكل أساسًا لنحو 70% من المواقع الإلكترونية، ما دفع الشركات والحكومات إلى التحرك سريعًا لمعالجة المشكلة.
وفي حين تكمن ثغرات PHP في الشيفرة البرمجية الأساسية نفسها، حذرت وكالة الأمن القومي الأميركية من أن المهاجمين قد يستغلونها للسيطرة على خوادم الويب، وسرقة البيانات، وتعطيل الخدمات، أو التنقل عبر الشبكات التي تعتمد عليها الخدمات التي يستخدمها الشخص العادي يوميًا.
ويقول خبراء إن المسؤولية تقع في معظمها على عاتق مزودي البرمجيات والمؤسسات التي تقدم الخدمات للعملاء، لكن هناك خطوات أساسية ينبغي للجميع اتخاذها لحماية أنفسهم، وفقًا لوكالة “رويترز”.
1- استخدام المصادقة متعددة العوامل
تتطلب المصادقة متعددة العوامل، أو MFA، استخدام وسيلتين للتحقق من الهوية للوصول إلى موقع محمي، مثل كلمة مرور إلى جانب رمز يُرسل عبر رسالة نصية أو مفتاح أمان.
وأوصت إيميلي أوستن، كبيرة الباحثين الأمنيين في شركة الأمن السيبراني “سينسيس” (Censys)، باستخدام كلمات مرور فريدة لكل موقع إلكتروني، ومراقبة المعاملات المالية.
وقالت أوستن: “لكن واقعيًا، في حالات مثل ثغرات PHP، لا يوجد الكثير مما يمكن للمستخدم النهائي فعله، باستثناء الأمل في أن الخدمات التي يعتمد عليها لا تستخدم PHP، أو أن يكون هناك أشخاص يعملون بنشاط على تثبيت التحديثات الأمنية”.
وتأتي ثغرات PHP ضمن أحدث سلسلة من الثغرات البرمجية الخطيرة التي تفاقمت مخاطرها مع تزايد قدرات النماذج اللغوية الكبيرة وسهولة الوصول إليها.
وأصبحت الثغرات الكامنة منذ فترة طويلة في البرمجيات واسعة الاستخدام، والتي كان استغلالها في السابق بالغ الغموض أو التعقيد على البشر، أسهل بكثير في الاكتشاف وتحويلها إلى أدوات للهجوم.
2- تفعيل التحديثات التلقائية للأجهزة
أوصى دان غويدو، الرئيس التنفيذي والشريك المؤسس لشركة الأمن السيبراني “تريل أوف بيتس” (Trail of Bits)، المستخدمين بـ”تفعيل التحديثات التلقائية على هواتفهم وأجهزة الكمبيوتر وأجهزة التوجيه المنزلية”.
وتصدر الشركات عادةً تحديثات أمنية عندما تتوفر إصلاحات للثغرات المعروفة، لذا فإن تثبيتها سريعًا يقلص الفترة الزمنية المتاحة للمهاجمين لاستغلالها.
ومع ذلك، قال غويدو إن المستهلكين يظلون تحت رحمة الخدمات التي يعتمدون عليها.
وأوضح غويدو: “يمكن لشخص يزور موقعًا إلكترونيًا أن يفعل كل شيء على نحو صحيح، مثل استخدام المصادقة الثنائية، ومع ذلك قد تتعرض معلوماته للكشف. لا يمكنك تثبيت تحديث أمني على موقع المستشفى الذي تتعامل معه”.
وقال غويدو إن معظم العمل يقع على عاتق الشركات التي تدير الخدمات، مضيفًا: “يتعين عليها نشر الإصلاحات بسرعة أكبر، والحد من الأضرار التي يمكن أن تسببها الأنظمة المخترقة”.
وقالت رونا ساندفيك، مؤسسة شركة غرانيت (Granitt) والخبيرة في الأمن الرقمي، إن على الأشخاص تحديث التطبيقات والخدمات على أجهزتهم فور توفر التحديثات، وألا ينسوا الأجهزة المنزلية المتصلة بالإنترنت.
وأضافت ساندفيك: “يمكنني تصور سيناريو يمتلك فيه بعض الأشخاص نوعًا من أجهزة إنترنت الأشياء في المنزل، قد لا يتلقى تحديثات بصورة متكررة، وربما لا يتلقى أي تحديثات على الإطلاق. من المفيد التحقق مرة أخرى مع الشركة المصنعة لمعرفة ما إذا كانت هناك تحديثات متاحة”.
3- تثبيت التحديثات الأمنية باستمرار
قال الدكتور دانيال غاردهام، المحاضر في مركز ساري للأمن السيبراني بجامعة ساري، إن على المؤسسات معرفة البرمجيات التي تستخدمها، وتثبيت التحديثات الأمنية بسرعة، والتحقق مما إذا كانت أنظمتها قد تعرضت للاختراق بالفعل.
وأضاف غاردهام أن المهاجمين يتمتعون بميزة في عصر الذكاء الاصطناعي.
وقال: “أصبح اكتشاف الثغرات أسرع وأسهل، لكن إصلاحها عبر مجموعة الأنظمة التي تعتمد على هذه البرمجيات أكثر صعوبة بكثير. وستحدد مدى قدرة المؤسسات على إدارة هذه الفجوة ما إذا كان الذكاء الاصطناعي سيجعل الإنترنت أكثر أمانًا أم أكثر عرضة للمخاطر”.
4- الحذر من المحتالين
قال نيك آدامز، الشريك المؤسس والرئيس التنفيذي لشركة أوركوس (0rcus) المتخصصة في علم التحكم الحركي السيبراني، إنه كلما تصدر تهديد كبير للأمن السيبراني عناوين الأخبار، حاول المحتالون ومجرمو الإنترنت استغلاله لمصلحتهم. لذلك، ينبغي الحذر من الروابط غير المطلوبة.
وقال آدامز: “عندما تنتشر هذه العناوين الإخبارية، تحقق من تعليمات الشركة المتأثرة من خلال فتح تطبيقها أو كتابة عنوان موقعها الإلكتروني بنفسك. وأي رسالة عاجلة تطلب منك “تأمين حسابك” تستحق تدقيقًا إضافيًا”.
5- أموالك بأمان
قال بول بيندا، نائب الرئيس التنفيذي لشؤون المخاطر والاحتيال والأمن السيبراني في جمعية المصرفيين الأميركيين، إن البنوك تستعد لهذه اللحظة منذ ظهور النماذج المتقدمة، وقد “عملت بجد كبير لضمان عدم بقاء أهداف سهلة يمكن للمجرمين استغلالها”.
ومع ذلك، أضاف بيندا أننا “أمام وضع طبيعي جديد” فيما يتعلق بالتهديدات السيبرانية، وأن على المستهلكين توخي الحذر، خاصة في أعقاب ثغرات PHP، عند التسوق من متاجر عشوائية أو مواقع إلكترونية “لن يكون مستوى أمنها مماثلًا لمستوى الأمان لدى البنك الذي تتعامل معه”.
وقال بيندا إن على المستهلكين عدم إعادة استخدام كلمات المرور نفسها عبر مواقع التسوق المختلفة، والنظر في استخدام مفاتيح المرور، حيثما أمكن. وهي مفاتيح رقمية مخصصة لمواقع إلكترونية معينة، وتغني عن إدخال كلمة مرور في الموقع، كما أنها مقاومة للتصيد الاحتيالي.
استيقظ كثيرون حول العالم يوم الأربعاء على أنباء عن وجود ثغرة أمنية قابلة للاستغلال في لغة البرمجة PHP، وهي لغة لم يسمع بها معظم الناس، لكنها تشكل أساسًا لنحو 70% من المواقع الإلكترونية، ما دفع الشركات والحكومات إلى التحرك سريعًا لمعالجة المشكلة.
وفي حين تكمن ثغرات PHP في الشيفرة البرمجية الأساسية نفسها، حذرت وكالة الأمن القومي الأميركية من أن المهاجمين قد يستغلونها للسيطرة على خوادم الويب، وسرقة البيانات، وتعطيل الخدمات، أو التنقل عبر الشبكات التي تعتمد عليها الخدمات التي يستخدمها الشخص العادي يوميًا.
ويقول خبراء إن المسؤولية تقع في معظمها على عاتق مزودي البرمجيات والمؤسسات التي تقدم الخدمات للعملاء، لكن هناك خطوات أساسية ينبغي للجميع اتخاذها لحماية أنفسهم، وفقًا لوكالة “رويترز”.
1- استخدام المصادقة متعددة العوامل
تتطلب المصادقة متعددة العوامل، أو MFA، استخدام وسيلتين للتحقق من الهوية للوصول إلى موقع محمي، مثل كلمة مرور إلى جانب رمز يُرسل عبر رسالة نصية أو مفتاح أمان.
وأوصت إيميلي أوستن، كبيرة الباحثين الأمنيين في شركة الأمن السيبراني “سينسيس” (Censys)، باستخدام كلمات مرور فريدة لكل موقع إلكتروني، ومراقبة المعاملات المالية.
وقالت أوستن: “لكن واقعيًا، في حالات مثل ثغرات PHP، لا يوجد الكثير مما يمكن للمستخدم النهائي فعله، باستثناء الأمل في أن الخدمات التي يعتمد عليها لا تستخدم PHP، أو أن يكون هناك أشخاص يعملون بنشاط على تثبيت التحديثات الأمنية”.
وتأتي ثغرات PHP ضمن أحدث سلسلة من الثغرات البرمجية الخطيرة التي تفاقمت مخاطرها مع تزايد قدرات النماذج اللغوية الكبيرة وسهولة الوصول إليها.
وأصبحت الثغرات الكامنة منذ فترة طويلة في البرمجيات واسعة الاستخدام، والتي كان استغلالها في السابق بالغ الغموض أو التعقيد على البشر، أسهل بكثير في الاكتشاف وتحويلها إلى أدوات للهجوم.
2- تفعيل التحديثات التلقائية للأجهزة
أوصى دان غويدو، الرئيس التنفيذي والشريك المؤسس لشركة الأمن السيبراني “تريل أوف بيتس” (Trail of Bits)، المستخدمين بـ”تفعيل التحديثات التلقائية على هواتفهم وأجهزة الكمبيوتر وأجهزة التوجيه المنزلية”.
وتصدر الشركات عادةً تحديثات أمنية عندما تتوفر إصلاحات للثغرات المعروفة، لذا فإن تثبيتها سريعًا يقلص الفترة الزمنية المتاحة للمهاجمين لاستغلالها.
ومع ذلك، قال غويدو إن المستهلكين يظلون تحت رحمة الخدمات التي يعتمدون عليها.
وأوضح غويدو: “يمكن لشخص يزور موقعًا إلكترونيًا أن يفعل كل شيء على نحو صحيح، مثل استخدام المصادقة الثنائية، ومع ذلك قد تتعرض معلوماته للكشف. لا يمكنك تثبيت تحديث أمني على موقع المستشفى الذي تتعامل معه”.
وقال غويدو إن معظم العمل يقع على عاتق الشركات التي تدير الخدمات، مضيفًا: “يتعين عليها نشر الإصلاحات بسرعة أكبر، والحد من الأضرار التي يمكن أن تسببها الأنظمة المخترقة”.
وقالت رونا ساندفيك، مؤسسة شركة غرانيت (Granitt) والخبيرة في الأمن الرقمي، إن على الأشخاص تحديث التطبيقات والخدمات على أجهزتهم فور توفر التحديثات، وألا ينسوا الأجهزة المنزلية المتصلة بالإنترنت.
وأضافت ساندفيك: “يمكنني تصور سيناريو يمتلك فيه بعض الأشخاص نوعًا من أجهزة إنترنت الأشياء في المنزل، قد لا يتلقى تحديثات بصورة متكررة، وربما لا يتلقى أي تحديثات على الإطلاق. من المفيد التحقق مرة أخرى مع الشركة المصنعة لمعرفة ما إذا كانت هناك تحديثات متاحة”.
3- تثبيت التحديثات الأمنية باستمرار
قال الدكتور دانيال غاردهام، المحاضر في مركز ساري للأمن السيبراني بجامعة ساري، إن على المؤسسات معرفة البرمجيات التي تستخدمها، وتثبيت التحديثات الأمنية بسرعة، والتحقق مما إذا كانت أنظمتها قد تعرضت للاختراق بالفعل.
وأضاف غاردهام أن المهاجمين يتمتعون بميزة في عصر الذكاء الاصطناعي.
وقال: “أصبح اكتشاف الثغرات أسرع وأسهل، لكن إصلاحها عبر مجموعة الأنظمة التي تعتمد على هذه البرمجيات أكثر صعوبة بكثير. وستحدد مدى قدرة المؤسسات على إدارة هذه الفجوة ما إذا كان الذكاء الاصطناعي سيجعل الإنترنت أكثر أمانًا أم أكثر عرضة للمخاطر”.
4- الحذر من المحتالين
قال نيك آدامز، الشريك المؤسس والرئيس التنفيذي لشركة أوركوس (0rcus) المتخصصة في علم التحكم الحركي السيبراني، إنه كلما تصدر تهديد كبير للأمن السيبراني عناوين الأخبار، حاول المحتالون ومجرمو الإنترنت استغلاله لمصلحتهم. لذلك، ينبغي الحذر من الروابط غير المطلوبة.
وقال آدامز: “عندما تنتشر هذه العناوين الإخبارية، تحقق من تعليمات الشركة المتأثرة من خلال فتح تطبيقها أو كتابة عنوان موقعها الإلكتروني بنفسك. وأي رسالة عاجلة تطلب منك “تأمين حسابك” تستحق تدقيقًا إضافيًا”.
5- أموالك بأمان
قال بول بيندا، نائب الرئيس التنفيذي لشؤون المخاطر والاحتيال والأمن السيبراني في جمعية المصرفيين الأميركيين، إن البنوك تستعد لهذه اللحظة منذ ظهور النماذج المتقدمة، وقد “عملت بجد كبير لضمان عدم بقاء أهداف سهلة يمكن للمجرمين استغلالها”.
ومع ذلك، أضاف بيندا أننا “أمام وضع طبيعي جديد” فيما يتعلق بالتهديدات السيبرانية، وأن على المستهلكين توخي الحذر، خاصة في أعقاب ثغرات PHP، عند التسوق من متاجر عشوائية أو مواقع إلكترونية “لن يكون مستوى أمنها مماثلًا لمستوى الأمان لدى البنك الذي تتعامل معه”.
وقال بيندا إن على المستهلكين عدم إعادة استخدام كلمات المرور نفسها عبر مواقع التسوق المختلفة، والنظر في استخدام مفاتيح المرور، حيثما أمكن. وهي مفاتيح رقمية مخصصة لمواقع إلكترونية معينة، وتغني عن إدخال كلمة مرور في الموقع، كما أنها مقاومة للتصيد الاحتيالي.
