مواقع الويب في بنغلاديش لا تزال عرضة للهجمات PHP2Shell على الرغم من التحذيرات: CIRT

حذرت وكالة الأمن السيبراني الحكومية في بنغلاديش من أن عدة منظمات حكومية وخاصة في البلاد لا تزال تستخدم إصدارات قديمة أو غير مدعومة من PHP - لغة البرمجة المستخدمة على نطاق واسع في بناء المواقع الإلكترونية - مما قد يجعل خدماتها الإلكترونية الموجهة للجمهور عرضة لهجمات إلكترونية. وقد حددت وحدة استخبارات التهديدات السيبرانية (CTI) التابعة لفريق الاستجابة لحوادث الكمبيوتر في الحكومة الإلكترونية في بنغلاديش (BGD e-GOV CIRT) نقاط الضعف من خلال المراقبة الروتينية، وفقًا لتحذير عالي الخطورة صدر أمس.

الإحباط في اللغة الرسمية مكشوف بالكاد: على الرغم من التحذيرات والإشعارات السابقة، لم تستجب العديد من المنظمات بعد أو تؤكد أنها اتخذت التدابير الأمنية اللازمة. وقد يؤدي استمرار تعرض هذه الخدمات دون تحديثات أمنية موثقة إلى زيادة خطر الاستغلال والاختراق، حسبما ذكر التحذير. ولم تذكر الوكالة أسماء المنظمات أو تكشف عدد المواقع الإلكترونية التي ما زالت عرضة للخطر - وهو أمر سيحمي سمعة المنظمات أو يحمي البطيئين في الاستجابة، حسبما يحدث لاحقًا.

جاء التحذير بعد ثلاثة أيام من تحذير CIRT في 22 أكتوبر حول PHP2Shell، مجموعة الثغرات الأمنية التي قد تسمح للمهاجمين بتشغيل شفرة خبيثة على الخوادم عن بُعد دون تسجيل الدخول - مما يعرض المعلومات الحساسة للخطر، ويهدد الخوادم، ويعطل الخدمات عبر الإنترنت. وحددت CIRT خمسة مخاطر محتملة: قيام المهاجمين بتشغيل شفرة خبيثة عن بُعد، والوصول غير المصرح إلى تطبيقات الويب والأنظمة الأساسية، وسرقة البيانات، وتعطيل الخدمات، واستخدام الأنظمة المخترقة لشن هجمات أخرى.

ℹ؛ كان الوكالة حريصة على ضبط المخاطر: حيث لا يعني تشغيل نسخة قديمة من PHP بالضرورة أن النظام تعرض لهجوم، حيث يعتمد المخاطر الفعلية على النسخة المستخدمة، ما إذا تم تطبيق تحديثات الأمان، وكيفية تكوين النظام، ومدى تعرضه للإنترنت. ولكن حثت الوكالة المنظمات على اتخاذ خطوات فورية لحماية الأنظمة المعرضة للإنترنت: تحقق من نسخ PHP التي تعمل على التطبيقات والخوادم والوعاء (containers) والبيئات المضيفة العامة؛ تحديث النسخ الضعيفة إلى إصدارات آمنة؛ تطبيق تحديثات مثبتة؛ واستبدال النسخ غير المدعومة بنسخ ما زالت تحت الدعم. 🔒؛ بالنسبة لأولئك الذين لا يستطيعون تثبيت تحديثات الفاتورة (patches) فورًا، نصح مركز معلومات أمن المعلومات (CIRT) بالاحتواء: تقليل الوصول العام عبر شبكات خاصة افتراضية (VPNs)، السماح بالاتصالات فقط من عناوين IP موافقة، أو إزالة التعرض غير الضروري للإنترنت — مع التأكيد على أن قيود الوصول المؤقتة تخفض المخاطر ولكن لا يمكن أن تعوض عن تحديثات الأمان. يجب على المنظمات أيضًا فحص سجلات الخوادم بحثًا عن طلبات مشبوهة، عمليات غير متوقعة، تغييرات ملفات غير مصرح بها، واتصالات خارجية غير عادية؛ يجب على أولئك الذين يستخدمون استضافة مدارة أو مشتركة العمل مع مزوديهم لضمان تحديث PHP؛ ومن يجب على أولئك الذين قد قاموا بالفعل بتطبيق الإصلاحات التحقق من أن أنظمةهم الحية تعمل بنسخ تحديثة. يجب على المنظمات عدم تأجيل عملية الإصلاح حتى حدوث حادث أمني، كما حذر الإشعار بشكل واضح، ودعا المستلمين للإشعار السابقين للتصرف دون تأخير. تقع مسؤولية حماية التطبيقات على كل منظمة حتى عندما تستضيف أو تديرها أطراف ثالثة.

📈 الأضرار التي لحقت بالفعل

🏦 أدى الضعف بالفعل إلى تعطيل الخدمات الرقمية في جميع أنحاء البلاد. استعاد بنك بنغلاديش موقعه على الإنترنت في الساعة 8 صباحًا أمس بعد إبقائه غير متصل لمدة يومين ونصف. في صباح السبت، كانت مواقع ستة بنوك غير متصلة - بنك IFIC وبنك Standard Islami وSBAC Bank عادوا في المساء، بينما ظل بنك Agrani وJanata Bank وBengal Commercial Bank مغلقين حتى يوم الأحد. كما علقت وزارة الأراضي الخدمات الرقمية على land.gov.bd لمدة حوالي 36 ساعة من منتصف ليلة 22 أكتوبر، بعد تحذير CIRT.

🧠 التفاصيل الفنية توضح الضرورة الملحة. يمكن للثغرات الأمنية PHP2Shell أن تسمح للمهاجمين بتشغيل شفرة خبيثة على الخوادم المتأثرة دون مصادقة، ويحذر الباحثون من أن المهاجمين قد يكونون قادرين على الوصول إلى البيانات المخزنة في ذاكرة موقع الويب - بما في ذلك كلمات المرور ورموز المصادقة ومفاتيح API. نظرًا لأن الخلل يؤثر على PHP نفسه بدلاً من شفرة الموقع الفردية، يمكن أن تظل التطبيقات معرضة للخطر حتى عندما يتبع المطورون ممارسات البرمجة الجيدة - فئة الثغرات النادرة التي لا توفر فيها المهارة الحماية. أصدرت PHP إصلاحات طارئة في 21 أكتوبر، لكن ثغرة مرتبطة تم الكشف عنها في 23 أكتوبر تؤثر أيضًا على الإصدارات المرصعة وستتطلب تحديثًا آخر في إصدار منتظم لاحق. يقدر الباحثون في مجال الأمن في Wiz أن حوالي 70 بالمائة من مواقع الويب في جميع أنحاء العالم قد تتأثر، وقد قامت الحكومات في المملكة المتحدة وهولندا وفرنسا والدنمارك وفنلندا بإيقاف الخدمات عبر الإنترنت كإجراء احترازي.

🔭 الدرس في الحوكمة الذي يضاعف من الدرس التقني

📚 بالنسبة لبنغلاديش، فإن الجزء المثير للدهشة في هذا التنبيه هو ليس وجود الخلل - فكل دولة تعاني منه - ولكن الصمت الذي يوثقه: فالمنظمات التي تم إخطارها بواسطة فريق CERT الوطني قبل أيام لم ترد أو تؤكد الإصلاحات من خلال تنبيه عام عالي الخطورة. هذه الفجوة هي وضع الضعف الحقيقي للبلاد في شكل مصغر: قدرة اكتشاف تعمل، ولكن انضباط التصحيح متأخر. كل منظمة تعامل استشارة CIRT كقراءة معلوماتية بدلاً من موعد نهائي للعمل، تحول مشكلة برمجية عالمية إلى مشكلة مؤسسية محلية.

🗂 والسؤال حول المساءلة يتبع الآن بشكل طبيعي: ما إذا كان فريق CIRT لـ BGD e-GOV سيصعد الأمور - عن طريق تسمية المنظمات غير الممتثلة، والتنسيق مع الوزارات الأم، أو طلب تقارير تصحيح معتمدة - أو ما إذا كانت دورة الاستشارة ثم التجاهل ستتكرر عندما يظهر الخلل التالي. لقد شهدت البلاد للتو أسبوعًا اختار فيه البنك المركزي وستة مقرضين تجاريين أيامًا من الظلام بدلاً من التعرض غير المؤكد؛ والمنظمات التي لا تزال تشغل PHP غير مدعومة تقامر بأن الغموض هو حماية. يتم توجيه التحذير الختامي للتنبيه، بأن التصحيح يجب ألا ينتظر حدوث حادث، إليهم - وستُظهر بيانات الأسبوع التالي ما إذا كان قد تم تلقيه أم لا.