ثغرتا PHP2Shell.. كيف تهددان خوادم المواقع الإلكترونية وما طرق الحماية؟

تكشف ثغرتان أمنيتان خطيرتان في لغة البرمجة «بي إتش بي» (PHP) عن المخاطر التي قد تنشأ نتيجة وجود عيوب في المكونات الأساسية التي تعتمد عليها مواقع الإنترنت. ففي 21 أكتوبر/تشرين الأول الجاري، أعلن فريق تطوير PHP إصدار تحديثات أمنية لمعالجة ثغرتين يمكن أن تتيحا للمهاجمين، في حال نجاح استغلالهما، تنفيذ شفرات برمجية عن بُعد على الخوادم المتأثرة، حتى دون امتلاك حساب أو تسجيل الدخول إلى الموقع.

وصنفت وكالة الأمن السيبراني السنغافورية الثغرتين ضمن مستوى المخاطر الحرجة، داعية المؤسسات إلى تثبيت التحديثات الأمنية دون تأخير.

وتنبع أهمية هذه القضية من الانتشار الواسع للغة PHP في تشغيل المواقع وتطبيقات الويب، لكن استخدام اللغة لا يعني بالضرورة أن الموقع معرض للاختراق. إذ يرتبط مستوى الخطورة بإصدار PHP المستخدم، ومدى توافر الإصلاحات الأمنية وتثبيتها، إلى جانب طبيعة بيئة التشغيل والإعدادات المعتمدة على الخادم.

ما طبيعة ثغرتي PHP2Shell؟

أُطلق اسم «PHP2Shell» على الثغرتين اللتين تحملان المعرّفين (CVE-2026-109618) و(CVE-2026-109619). وتكمن خطورتهما في ارتباطهما بآليات عمل بيئة تشغيل PHP نفسها، وليس بالضرورة بالشفرات البرمجية التي يكتبها مطورو المواقع.

وبحسب فريق تطوير PHP والوكالة السنغافورية للأمن السيبراني، حصلت كل واحدة من الثغرتين على تقييم 9.2 من 10 وفق الإصدار الرابع من نظام التقييم المشترك للثغرات الأمنية (CVSS).

ترتبط الثغرة الأولى (CVE-2026-109618) بخلل في التعامل مع حالات نفاد الذاكرة. فعندما تواجه بيئة PHP نقصا في الذاكرة المتاحة لمواصلة معالجة أحد الطلبات، قد تتوقف العملية بصورة استثنائية قبل استكمال تهيئة بعض البيانات الداخلية.

وإذا تعاملت إجراءات تنظيف الطلب لاحقا مع تلك البيانات غير المكتملة باعتبارها بيانات سليمة، فقد ينشأ مسار يسمح باستغلال الخلل وتنفيذ شفرات ضارة.

أما الثغرة الثانية (CVE-2026-109619)، فتتعلق بمشكلة تُعرف باسم «استخدام الذاكرة بعد تحريرها» (Use-After-Free). وتحدث عندما تستمر أجزاء من البرنامج في الإشارة إلى مساحة من الذاكرة سبق تحريرها، بدلا من التعامل مع بيانات صالحة ومهيأة بصورة صحيحة.

وفي ظروف معينة، قد تستفيد معالجة لاحقة للطلبات من هذه الحالة غير السليمة، ما يتيح للمهاجمين فرصة لاستغلال الخلل.

كيف يمكن استغلال الثغرات للوصول إلى الخوادم؟

يبدأ الهجوم بإرسال طلب مصمم لاستثارة الخلل في بيئة PHP المتأثرة. وقد يؤدي ذلك إلى اضطراب في إدارة الذاكرة أو في الحالة الداخلية لعملية المعالجة، قبل أن يحاول المهاجم استغلال هذا الاضطراب للتأثير في طريقة تنفيذ البرنامج.

وإذا نجح الهجوم في الوصول إلى مرحلة تنفيذ الشفرات البرمجية عن بُعد (Remote Code Execution)، فقد يتمكن المهاجم من تشغيل أوامر ضمن الصلاحيات الممنوحة للعملية المسؤولة عن تشغيل الخادم.

وتتمثل إحدى أبرز نقاط الخطورة في إمكانية تنفيذ الهجوم، في بعض بيئات التشغيل، قبل وصول الطلب إلى شفرات التطبيق نفسه. ولذلك، لا يكفي الاعتماد على نظام تسجيل الدخول في الموقع لمنع الاستغلال.

وأوضحت شركة «داتادوغ» (Datadog)، في تحليل أمني نشرته، أن المصادقة على مستوى التطبيق لا تحول دون تنفيذ الهجوم في الحالات التي تعالج فيها بيئة PHP الطلب الخبيث قبل وصوله إلى منطق التطبيق.

وقد تشمل الأضرار المحتملة تشغيل أدوات ضارة، أو الوصول إلى بيانات حساسة تستطيع عملية PHP الاطلاع عليها، أو زرع ملفات تتيح للمهاجم العودة إلى الخادم لاحقا، وربما التمهيد للانتقال إلى أنظمة أخرى داخل الشبكة.

لكن هذه النتائج ليست حتمية في جميع الحالات، إذ تعتمد على نجاح الاستغلال والصلاحيات المتاحة للعملية وإعدادات الخادم. كما أن وجود ثغرة أمنية في النظام لا يعني بالضرورة أن الموقع تعرض للاختراق بالفعل.

تداعيات الثغرات ودور الذكاء الاصطناعي

لا تقتصر تداعيات هذه الثغرات على موقع إلكتروني واحد، إذ إن اختراق خادم يستضيف تطبيقا حساسا قد يؤدي إلى كشف بياناته أو استغلال موارده في أنشطة ضارة، وفقا لمستوى الصلاحيات التي يتمكن المهاجم من الوصول إليها.

وقد تمتد المخاطر إلى خدمات أخرى مرتبطة بالخادم، خصوصا عندما تفتقر الشبكة إلى إجراءات العزل المناسبة.

وفي تحديث نشرته يوم 23 أكتوبر/تشرين الأول الجاري، أشارت وكالة الأمن السيبراني السنغافورية إلى رصد محاولات استغلال واسعة النطاق، محذرة المؤسسات من تأجيل تثبيت الإصلاحات الأمنية المتاحة.

وفي سياق متصل، برز دور الذكاء الاصطناعي في اكتشاف العيوب البرمجية وتحليلها. ووفقا لتحليل نشرته شركة «إيلاستيك» (Elastic)، ساعدت نماذج متقدمة للذكاء الاصطناعي باحثين في شركة «ويز» (Wiz) على اكتشاف الثغرتين، قبل التنسيق مع فريق PHP للإفصاح عنهما وإتاحة التحديثات اللازمة لمعالجتهما.

وتوضح هذه الواقعة قدرة نماذج الذكاء الاصطناعي على مساعدة الباحثين في فحص الشفرات البرمجية، واكتشاف أنماط الأخطاء المعقدة، وتسريع اختبار الفرضيات المتعلقة بالثغرات الأمنية.

لكن استخدام هذه التقنيات لا يقتصر على الجانب الدفاعي، إذ يمكن للمهاجمين الاستفادة من الأدوات نفسها في تحليل الثغرات وتطوير وسائل لاستغلالها. ومن ثم، لا يمثل الذكاء الاصطناعي ضمانة للأمان بحد ذاته، بل تتحدد نتائجه وفقا لطريقة استخدامه ودقة الاختبارات وسرعة معالجة العيوب المكتشفة.

كيف يمكن حماية المواقع من الاستغلال؟

يوصي فريق تطوير PHP بتحديث الأنظمة إلى الإصدارات التي تتضمن الإصلاحات الأمنية، وهي:

• PHP 8.5.12
• PHP 8.4.27
• PHP 8.3.36
• PHP 8.2.35

وينبغي اختيار الإصدار المناسب وفقا للفرع المستخدم في الخادم. أما الإصدارات القديمة التي لم تعد تتلقى تحديثات مباشرة من المشروع، فعلى مشغليها التحقق من توافر إصلاحات أمنية خلفية يقدمها مزود النظام، أو الانتقال إلى إصدار لا يزال مدعوما.

وتشمل إجراءات الحماية الأساسية عددا من الخطوات:

– حصر الأنظمة المعرضة للخطر: التحقق من إصدار PHP المستخدم في الخوادم والحاويات والتطبيقات المرتبطة بها، بما في ذلك المكونات التي قد لا تكون ظاهرة لمدير الموقع.

– تثبيت التحديثات الأمنية: إعطاء الأولوية للخوادم المتصلة بالإنترنت، مع التأكد من تحديث بيئة PHP نفسها، وعدم الاكتفاء بتحديث نظام إدارة المحتوى إذا ظلت بيئة التشغيل دون إصلاح.

– تقليل التعرض للهجمات: عزل الأنظمة المتأثرة مؤقتا عن الإنترنت إذا تعذر تحديثها فورا، مع تطبيق إجراءات التخفيف التي يوصي بها فريق PHP، مع التأكيد أنها لا تمثل بديلا عن تثبيت التحديث الأمني.

– مراجعة سجلات الأنظمة: البحث عن عمليات غير معتادة أطلقتها خدمات الويب، أو ملفات وحسابات جديدة، أو اتصالات صادرة مثيرة للشك، والتحقق من وجود مؤشرات قد تدل على تعرض الخادم لاختراق سابق.

وتؤكد هذه الإجراءات أهمية الجمع بين تحديث البرمجيات ومراقبة الأنظمة وتقليص صلاحيات الوصول، لحماية الخوادم والبنية التحتية التي تعتمد عليها مواقع الإنترنت.

ثغرة إضافية تتطلب إجراءات احترازية

وتبرز أهمية المتابعة الأمنية المستمرة في أن فريق PHP نشر، في 23 أكتوبر/تشرين الأول الجاري، تحذيرا إضافيا بشأن ثغرة أخرى تحمل المعرّف (CVE-2026-115560)، وهي غير مشمولة بالتحديثات التي صدرت في 21 أكتوبر/تشرين الأول.

وبحسب التحذير، يتطلب استغلال هذه الثغرة توافر تركيبة غير شائعة من إعدادات PHP وسلوك التطبيق.

ويوصي الفريق بتعطيل ميزة تتبع تقدم رفع الملفات مؤقتا في البيئات التي تنطبق عليها ظروف الثغرة، وذلك إلى حين توفير إصلاح أمني مناسب.