تیم توسعه بازی کارتینگ متن‌باز سوپرتوکس‌کارت (SuperTuxKart) اعلام کرد برای جلوگیری از سوءاستفاده از آسیب‌پذیری PHP2Shell، سرور اصلی خدمات آنلاین این بازی را از دسترس خارج کرده است. این تصمیم در حالی گرفته شده که ویکی‌مدیا، دیویانت‌آرت، شماری از وب‌سایت‌های دولتی و سرویس‌های متعدد دیگری نیز برای مقاوم‌سازی در برابر این آسیب‌پذیری، بخشی از سیستم‌های خود را موقتاً آفلاین کرده‌اند.
کدام خدمات آنلاین در دسترس نیستند؟
با خاموش شدن سرور، کاربران فعلاً نمی‌توانند رمز عبور حساب آنلاین خود را بازنشانی کنند، رتبه‌بندی‌ها را ببینند یا افزونه جدید بارگذاری کنند. با این حال، بخش‌های آفلاین بازی مانند صفحه تقسیم‌شده (Split-Screen) و چندنفره محلی (LAN Multiplayer) همچنان کار می‌کنند. همچنین دانلود افزونه‌های آنلاین و بازی آنلاین برای کاربران ثبت‌نام‌شده در دسترس است.
هشدار درباره سوءاستفاده و توصیه امنیتی
بر اساس اعلام سوپرتوکس‌کارت، تلاش‌هایی برای سوءاستفاده از PHP2Shell از ۱۷ اکتبر ثبت شده است؛ یعنی چهار روز پیش از افشای عمومی این آسیب‌پذیری. تیم پروژه تأکید کرده که سرور خودش نقض نشده است، اما به کاربرانی که از رمز عبور حساب SuperTuxKart Online در جای دیگری استفاده می‌کنند توصیه کرده آن را تغییر دهند.
چرا بازنویسی سرور ضروری شد؟
سرور قدیمی این بازی از نسخه‌ای قدیمی از PHP استفاده می‌کرد و انتقال به نسخه جدید نیازمند تغییراتی در کدی بود که بیش از یک دهه قدمت دارد. یک شرکت امنیتی که بخش‌هایی از کد را بررسی کرده، به پروژه توصیه کرده است سرور را بدون بازنویسی دوباره آنلاین نکند. به همین دلیل، سوپرتوکس‌کارت سرور را با پایتون (Python) بازسازی می‌کند و PHP را کنار می‌گذارد.
بازسازی با پایتون و بدون هوش مصنوعی
تیم توسعه اعلام کرده است برای نوشتن کد سرور جدید از هوش مصنوعی استفاده نمی‌کند؛ یک انسان باید کد را آزمایش، مطالعه و تأیید کند تا از عملکرد آن اطمینان حاصل شود. رساندن مجموعه کامل قابلیت‌ها روی سرور جدید چند هفته کار مهندسی می‌طلبد، هرچند این پروژه چند ماه است در حال توسعه بوده و اکنون به اندازه‌ای عملیاتی شده که بازی آنلاین و دانلود افزونه برای کاربران ثبت‌نام‌شده ادامه یابد.
شکاف‌های باقی‌مانده و نیاز به حسابرسی امنیتی
هنوز شکاف‌های مهمی باقی مانده است؛ از جمله ایجاد حساب کاربری. همچنین پیش از انتقال حساب‌ها به سرور جدید، یک حسابرسی امنیتی (Security Audit) ضروری خواهد بود. سوپرتوکس‌کارت مانند بسیاری از پروژه‌های متن‌باز به داوطلبان وابسته است و برای تکمیل این تلاش، کمپین کمک مالی ۴۰۰۰ دلاری راه‌اندازی کرده است. یک شرکت امنیتی نیز اعلام کرده کمک‌های مالی را با زمان مهندسی معادل پاسخ می‌دهد.