אין פתרון קבוע יותר ממעקף זמני שפשוט עובד. ב־15 בספטמבר 2026 הודיע המהנדס ג'ייק א. סמית' בבלוג שלו על סיום התחזוקה של החבילה jakeasmith/http_build_url ב־Packagist. מה שהתחיל ב־2014 כטלאי מהיר עבור מערכת הניהול הישנה של חברת AOL, הפך במרוצת השנים לתשתית שקטה שמחזיקה רשת עולמית של אתרים. אם אתם מתחזקים שרתי לינוקס או אתרי לקוחות, זה הזמן לבדוק מה באמת יושב לכם בתיקיית ה־vendor.
שום דבר לא נשבר מחר
פרודקשן לא ייפול הלילה. סימון החבילה כנטושה ב־Composer לא מוחק את הקבצים, והגרסאות שכבר שוחררו יישארו זמינות להורדה בשרתי Packagist. הקוד הזה נהנה מתפוצה רחבה: כמעט 20 מיליון התקנות מצטברות, וקצב שוטף של מעל 400 אלף הורדות מדי חודש. הוא מופץ ישירות בתוך מאגרי החבילות של הפצות לינוקס כמו Debian ו־Ubuntu, ומשולב עמוק בתוך מערכות תוכן ותיקות.
לא הייתי ממהר להיכנס לפאניקה.
שום שרת פרודקשן לא יישבר מחר בבוקר מעצם ההכרזה, אבל המשך הסתמכות על קוד נטוש היא הזמנה לתקלות עתידיות. בישראל, ההשפעה מגיעה בעיקר דרך עולם הוורדפרס. תוסף התרגום הפופולרי WPML, שמשמש סוכנויות דיגיטל ואתרי מסחר מקומיים לבניית חנויות דו־לשוניות בעברית ובאנגלית, מטמיע את הפוליפיל הזה ישירות בתוכו. WPML לבדו מדווח על יותר מ־1.5 מיליון אתרים פעילים. הקוד רץ שם, שקט ויציב, בלי שרוב המפתחים בכלל מודעים לקיומו.
הבאג שגונב אותיות
החבילה כולה מכילה בסך הכל 174 שורות קוד שנכתבו לפני שתים־עשרה שנה. המטרה אז הייתה פשוטה: שדרוג ה־CMS של AOL מגרסת PHP 5.2 לגרסת PHP 5.3 גרר הסרה של הרחבת pecl_http. אותה הרחבה סיפקה את הפונקציה המקורית http_build_url. במקום לשכתב עשרות קריאות קוד במערכת הענקית, סמית' כתב מימוש חלופי שהגדיר את הפונקציה רק במידה והיא חסרה במנוע. המערכת המשיכה לרוץ כרגיל, וסמית' העלה את הפתרון כקוד פתוח מתוך מחשבה שהוא יחזיק שנה או שנתיים.
כתבתי את הקוד הזה כדי להקל על מיגרציה כואבת, עבור עצמי ועבור כל מי שעבר את אותו תהליך.ג'ייק א. סמית' בבלוג האישי
AOL מעולם לא טרחה להחליף את הטלאי. הוא המשיך לפעול במערכות שלה עד לסגירת הפלטפורמה כולה סביב שנת 2020. אלא שבמשך כל השנים הללו הסתתר בקוד באג מוזר ומביך. תחת הערה פנימית שנועדה לטפל בנתיבים שמסתיימים בסלאש, הקוד הוסיף את האות a באופן זמני לקצה הנתיב כדי להבטיח קיומו של מקטע לחיתוך, ואז ביצע פעולת החלפה. כתוצאה מכך, חיבור נתיב לכתובת עם סלאש מסיים מוחק לצמיתות כל אות a שמופיעה בנתיב המבוקש. הבאג הזה תועד בעמוד הפרויקט ב־GitHub, וכעת כבר לא יתוקן לעולם.
סכנת שרשרת האספקה
כבר ב־2021 הבין סמית' שהחבילה צברה פופולריות חריגה וביקש למצוא לה מתחזק חדש בקהילה. שלושה מפתחים שונים התנדבו לקחת את המושכות. אלא שנסיבות משפחתיות אישיות מנעו ממנו לחזור לפניות, ובהמשך הוא פשוט שכח מהחבילה לשנים. כעת, כשהביט בה שוב, עולם אבטחת המידע נראה אחרת. השיקול המרכזי ששכנע אותו לא להעביר את הפרויקט הלאה היה לקחי פרשת xz Utils, שבה גורמים עוינים בנו אמון במשך חודשים ארוכים סביב רכיב תשתית רדום כדי לשתול בו דלת אחורית.
חבילה שמורדת 400 אלף פעמים בחודש ומשובצת בתוך מערכות כמו דביאן או WPML היא מטרה מפתה במיוחד לתוקפי שרשרת אספקה. אם מפתח אלמוני יקבל לידיו את ניהול הריפו, איש במורד הזרם לא יוכל לוודא שכל עדכון גרסה נקי מכוונות זדון. יתרה מזו, אפילו תיקון של שורה בודדת עבור באג האותיות עלול לשבור תלויות היסטוריות אצל משתמשים שהתרגלו להתנהגות העקומה. ההחלטה לחתוך ולהכריז על הפסקת פעילות היא הצעד הנכון ביותר לאבטחת המערכת.
מסלול השדרוג לפי גרסה
מי שכותב קוד חדש כבר לא זקוק לפוליפילים מתקופת PHP 5. הפתרון הנקי ביותר שמור למי שמשדרג לגרסאות עדכניות: PHP 8.5 כוללת ממשק רשמי מובנה לטיפול בכתובות תחת Uri\Rfc3986\Uri. המחלקה הזו מאפשרת לפרק, לערוך ולחבר נתיבים בצורה תקנית ומהירה היישר מתוך ליבת השפה, בלי ספריות חיצוניות ובלי קומבינציות מחרוזות מסוכנות.
בשרתים שעדיין מריצים גרסאות ישנות יותר, המסלול הנכון הוא מעבר לספריות קהילתיות מבוססות תקן כמו league/uri, או שילוב ישיר בין הפונקציות המובנות parse_url ו־http_build_query. אין סיבה להשאיר תלות בחבילה שלא תראה עדכונים נוספים, בוודאי בפרויקטים שעוברים תחזוקה שוטפת.
| גרסת PHP | פתרון מומלץ | השלכות ושיקולים |
|---|---|---|
| PHP 8.5 ומעלה | Uri\Rfc3986\Uri | ממשק מובנה בליבת השפה, תאימות מלאה לתקן RFC 3986 וללא תלויות חיצוניות. |
| גרסאות ישנות יותר מ־PHP 8.5 | ספריית league/uri | פתרון קהילתי מתוקנן ומתוחזק, זמין כספרייה עצמאית. |
| גרסאות ישנות יותר מ־PHP 8.5 | parse_url ו־http_build_query | שימוש בפונקציות ליבה קיימות ללא התקנת חבילות, מצריך כתיבת פונקציית מעטפת עצמאית. |
הקוד הישן עשה את שלו.
אם הפרויקט שלכם נשען ישירות על החבילה, תכננו את השדרוג בלוח העבודה הקרוב. מנגד, אם אתם מנהלים אתרי וורדפרס שמריצים WPML, המתינו לעדכון הגרסה הרשמי של התוסף. בינתיים, שרתי האינטרנט ימשיכו לעבוד, יחד עם אותם מעקפים זמניים שנוצרו אי שם בעשור הקודם.
מקורות
- My temporary PHP fix from 2014 has nearly 20M installs. Today I'm deprecating ithttps://jakeasmith.com/blog/http-build-url/
- GitHub - jakeasmith/http_build_url: Deprecated: use PHP 8.5's built-in Uri\Rfc3986\Uri instead. Provides functionality fhttps://github.com/jakeasmith/http_build_url
- WPMLhttps://wpml.org/home/about-us/
- PHP 8.5https://www.php.net/releases/8.5/en.php
הידיעה נכתבה מהמקורות שלמעלה בתאריך הפרסום, וכל טענה בה נבדקה מולם. מצאתם טעות? כתבו.