ثلاث ثغرات في أسبوع واحد: PHP وGitLab وLiteLLM تذكّرنا بأن التحديث لا ينتظر

قرأت أخبار اليوم فوجدت ثلاث قصص أمنية تقول الشيء نفسه بثلاث طرق مختلفة: البرمجيات التي نعتمد عليها كل يوم هي أضعف حلقة في أعمالنا، وتأجيل التحديث قرار له ثمن. لذلك اخترتها موضوع تدوينة اليوم.

ماذا حدث؟

أولاً، نقلت البوابة العربية للأخبار التقنية أن مطوري لغة PHP أصدروا تحديثات أمنية عاجلة لثغرتين خطيرتين قد تعرضان ملايين المواقع وتطبيقات الويب لهجمات واسعة. والتحذير واضح: ثبّتوا الإصلاحات فور توفرها، وإذا تعذر ذلك فاعزلوا الأنظمة المتأثرة عن الإنترنت أو أوقفوها مؤقتاً. وتصف TechCrunch الحادثة بأنها مشكلة أمنية اكتُشفت ومُنعت بمساعدة الذكاء الاصطناعي، لكنها في الوقت نفسه عالية الخطورة بسبب الذكاء الاصطناعي أيضاً. هذه المفارقة تستحق التوقف عندها.

ثانياً، أفاد موقع The Hacker News أن GitLab أصدرت في 21 أكتوبر إصلاحاً لثغرة بدرجة خطورة 10.0 تتيح لمهاجم تشغيل شيفرة على خادم مُدار ذاتياً دون تسجيل دخول. وهي تمس كل الإصدارات منذ الإصدار 7.0 الذي صدر عام 2014. والأهم أن من حدّث قبل تسعة أيام قد لا يكون محمياً، لأن تحديث 12 أكتوبر غطّى الإصدارات 19.2 وما بعدها فقط، والإصدارات المصححة الجديدة تقع فوقه بتحديث واحد.

ثالثاً، ذكر The Hacker News أن حزمة LiteLLM الشهيرة في بايثون تعرضت لهجوم على سلسلة التوريد، ووُزّع من خلاله سارق بيانات اعتماد وباب خلفي. الإصدار المصاب هو 1.107.0 عبر حزم PyPI وصور Docker، وقد حُجرت الحزمة بعد تقارير من SafeDep وSocket وStepSecurity وUpwind.

لماذا يهمنا في الخليج؟

شركاتنا تتحول رقمياً بسرعة، وكثير منها يشغّل مواقعه على PHP وWordPress، ويستضيف مستودعاته البرمجية بنفسه، ويبني أدوات ذكاء اصطناعي فوق حزم مفتوحة المصدر. هذه الأمور مجتمعة تعني أن الخبر قد يخصك مباشرة حتى لو كنت لا تعتبر نفسك شركة تقنية. ومن تجربتي في Evorq Technology، أخطر الأنظمة هي التي يظن الجميع أن غيرهم يتولى تحديثها: موقع قديم أنشأته وكالة سابقة، أو خادم GitLab تركه موظف غادر الشركة.

وقصة GitLab تحديداً تعلّمنا درساً مهماً. رقم الإصدار الذي ثبّتّه الأسبوع الماضي لا يكفي، وعليك أن تقارن إصدارك بالإصدارات المصححة المعلنة اليوم لا بما كان صحيحاً قبل أيام.

ماذا أنصح بفعله؟

• احصر أنظمتك: اكتب قائمة بكل خادم وموقع يعمل بـ PHP أو WordPress أو GitLab، ومن المسؤول عن كل منها.
• حدّث بحسب الأولوية: ابدأ بالأنظمة المكشوفة على الإنترنت، وطبّق الإصلاحات الجديدة في PHP وGitLab. وإن لم تستطع التحديث فوراً فاعزل النظام أو أوقفه مؤقتاً كما نصح المطورون.
• تحقق من إصدار GitLab بدقة: لا تكتفِ بأنك حدّثت في 12 أكتوبر، وتأكد أنك على الإصدار المصحح الأحدث.
• افحص اعتماديات بايثون: إن كنت تستخدم LiteLLM فتأكد أنك لا تعمل على الإصدار 1.107.0 في أي بيئة أو صورة Docker. وإن كان قد وصل إلى بيئتك فاعتبر المفاتيح وكلمات المرور المخزنة هناك مكشوفة، وغيّرها.
• ثبّت إصدارات الحزم: لا تسحب أحدث نسخة تلقائياً في بيئة الإنتاج دون مراجعة.

رأيي الصريح

أرى في هذه القصص الثلاث وجهين للذكاء الاصطناعي. فهو يساعد على اكتشاف ثغرات قديمة في شيفرات يعتمد عليها العالم كله، لكنه يرفع في الوقت نفسه سرعة الهجوم والدفاع معاً. وكلما صار اكتشاف الثغرات أسرع، قصرت المهلة التي نملكها قبل أن يستغلها غيرنا.

لا أدعو إلى الذعر، لكنني أدعو إلى الانضباط. الفرق بين شركة تمر بهذه الأسابيع بسلام وأخرى تتعرض للاختراق ليس في الميزانية في الغالب، بل في وجود قائمة محدّثة بالأنظمة وشخص مسؤول عن التحديث وعادة منتظمة للمراجعة. خصص ساعة هذا الأسبوع لإجراء هذا الجرد، فقد توفر عليك شهوراً من معالجة حادثة اختراق.