عندما انتشر الخبر يوم الأربعاء، 22 أكتوبر، بأن PHP تحتوي على ثغرة قابلة للاختراق، لم يكن معظم الناس قد سمعوا من قبل بلغة البرمجة المعنية. وفقًا لتقرير AJ Vicens، تشكّل PHP الأساس لنحو 70 في المائة من جميع مواقع الويب، وقد أثار هذا الكشف حالة من الاستنفار لدى الشركات وفرق الأمن. إذا كنت تتساءل عن ثغرة PHP وكيفية البقاء آمنًا، فالإجابة المختصرة هي أن الحمايات الأكثر فعالية تحدث على جانبك من الشاشة، وهي بسيطة.
ملاحظة حول ما نعرفه: النص المتاح من المقال المصدر موجز، ويضع الخبر ضمن نقاش أوسع حول الاختراق المعزّز بالذكاء الاصطناعي. لن نخوض في تفاصيل تقنية عن الثغرة بما يتجاوز ما تم الإبلاغ عنه. ما يمكننا فعله هو شرح لماذا يهم خلل كهذا المستخدمين العاديين وأي العادات تقلّل من تعرضك.
لماذا تصل ثغرة PHP إلى المستخدمين العاديين
PHP هي لغة تعمل من جهة الخادم. تعمل خلف الكواليس على خوادم الويب، وتولّد الصفحات التي تراها عند تسجيل الدخول أو التسوق أو قراءة الأخبار. لا تقوم أنت بتثبيتها أبدًا ولا تراها أبدًا، لكن إذا كان الموقع الذي تستخدمه يعمل بها، فقد يصبح ضعف في PHP ضعفًا في ذلك الموقع.
وهذا هو سبب اتساع النطاق. فمع كون PHP تشكّل الأساس لنحو 70 في المائة من مواقع الويب، وفقًا للتقرير، تشمل الفئة المتأثرة مواقع الأعمال الصغيرة والمتاجر الإلكترونية والمدونات والخدمات التي قد يكون لديك حساب فيها. وإصلاح المشكلة هو في الغالب مهمة أصحاب المواقع ومزودي الاستضافة، الذين يجب عليهم تطبيق التصحيحات. لا يمكنك تصحيح خادم شخص آخر.
ما يمكنك التحكم فيه هو مقدار الضرر الذي قد يلحقه موقع مخترق بك. إذا تم اختراق موقع تستخدمه، فالأسئلة هي ما إذا كانت كلمة مرورك تعمل في مكان آخر، وما إذا كانت بيانات تسجيل الدخول المسروقة وحدها كافية للدخول، وما إذا كنت ستُخدع بعمليات الاحتيال اللاحقة التي غالبًا ما تصل بعد ذلك.
كيف يسرّع الذكاء الاصطناعي الاختراق وعمليات الاحتيال
يشير عنوان المقال إلى الاختراق المعزّز بالذكاء الاصطناعي، والقلق سهل الفهم. يمكن للأدوات الآلية أن تساعد المهاجمين على فحص المواقع الضعيفة بشكل أسرع وصياغة رسائل أكثر إقناعًا على نطاق واسع. فبريد احتيال كان في السابق يفضح نفسه بصياغة ركيكة يمكن الآن أن يُقرأ بسلاسة.
يتضمن المقال المصدر قسمًا يستهدف أساليب المحتالين، بما في ذلك تحذير بشأن الروابط غير المرغوب فيها. والدرس العملي هو أنك لم تعد تستطيع الاعتماد على ملاحظة القواعد اللغوية السيئة أو الأخطاء الواضحة. بدلًا من ذلك، اعتمد على الإجراء: تحقق من مصدر الرسالة قبل أن تتصرف بناءً عليها.
خمس خطوات عملية لحماية نفسك
هذه العادات هي أفضل الممارسات العامة وليست تلخيصًا للقائمة الدقيقة الواردة في المقال، والتي ليست متاحة لنا بالكامل. وهي تعالج التعرض الذي تخلقه ثغرة كهذه.
- حافظ على تحديث برامجك. فعّل التحديثات التلقائية لنظام التشغيل والمتصفح والتطبيقات. إذا كنت تدير موقعك الإلكتروني أو مدونة على طراز WordPress تعمل بـ PHP، فحدّث المنصة والإضافات وإصدار PHP فورًا، أو اطلب من مزود الاستضافة تأكيد أنهم طبّقوا التصحيحات.
- كن حذرًا من الروابط غير المرغوب فيها. لا تنقر على الروابط في رسائل البريد الإلكتروني أو الرسائل النصية أو الرسائل غير المتوقعة، حتى لو بدت مألوفة. اكتب عنوان الموقع بنفسك أو استخدم إشارة مرجعية محفوظة.
- استخدم كلمة مرور فريدة لكل حساب. إذا تم اختراق موقع واحد، فإن كلمة المرور الفريدة تمنع انتشار الضرر. ومدير كلمات المرور يجعل ذلك واقعيًا.
- فعّل المصادقة الثنائية (2FA). حتى لو تسربت كلمة المرور، فإن خطوة ثانية تجعل من الصعب كثيرًا على المهاجم الدخول. تطبيقات المصادقة أو المفاتيح المادية أقوى عمومًا من رموز الرسائل النصية.
- احترس من عمليات الاحتيال اللاحقة. بعد ثغرة تم الإبلاغ عنها على نطاق واسع، توقّع رسائل تدّعي أنها "تنبيهات أمنية" من شركات تستخدمها. انتقل مباشرة إلى الموقع الرسمي للشركة أو تطبيقها بدلًا من استخدام الرابط المقدم.
ما الذي تحميه VPN وما لا تحميه
يقوم VPN بتشفير حركة المرور بين جهازك وخادم VPN، وهو أمر مفيد على شبكات Wi-Fi العامة، حيث يمكن للآخرين على الشبكة نفسها مراقبة نشاطك لولا ذلك. ويمكنه أيضًا إخفاء عنوان IP الخاص بك عن المواقع التي تزورها.
ما لا يفعله هو إصلاح خلل في شيفرة موقع ويب. إذا تم اختراق خادم يعمل بـ PHP ضعيفة، فإن VPN على جهازك لا يغيّر ذلك. ولن يمنعك أيضًا من إدخال كلمة مرورك في صفحة تصيّد احتيالي. اعتبره طبقة واحدة محدودة، لا درعًا ضد هذا النوع من المشكلات. ولمزيد من السياق حول سبب بقاء التشفير وأدوات الخصوصية موضوع نقاش سياسي حي، راجع تغطيتنا لكيفية أن Chat Control 2.0 لا يزال يهدد التشفير في الاتحاد الأوروبي، بحسب المنتقدين.
ماذا يعني هذا بالنسبة لك
لا تحتاج إلى فهم PHP لتقليل مخاطرك. الكشف هو في الأساس تذكير بأن حساباتك تعيش على خوادم لا تتحكم فيها. افترض أن أي موقع قد يُخترق يومًا ما، وجهّز حساباتك بحيث يكون الاختراق إزعاجًا لا كارثة: كلمات مرور فريدة، ومصادقة ثنائية، وتشكيك في الروابط غير المتوقعة.
اتخذ إجراءً اليوم
إذا لم تفعل شيئًا آخر بعد قراءة هذا، فافعل هذه الأشياء الثلاثة الآن: ثبّت التحديثات المعلّقة، وفعّل المصادقة الثنائية لحسابات بريدك الإلكتروني وحساباتك المصرفية، واستبدل أي كلمات مرور معاد استخدامها. البقاء آمنًا بعد ثغرة PHP يتلخص في هذه العادات اليومية. استخدم VPN إذا كنت تتصل كثيرًا عبر Wi-Fi العام، لكن تعامل معه كطبقة واحدة من عدة طبقات، لا كعلاج شامل.
