باختصار: اكتُشفت ثغرتان حرجتان في لغة PHP نفسها، وهي اللغة التي تقوم عليها مواقع وردبريس ولارفل ودروبال ومعظم المتاجر الإلكترونية. يستطيع المهاجم من خلالهما السيطرة على الخادم دون كلمة مرور، وقد بدأت الهجمات قبل صدور الإصلاح. والحل هو تحديث PHP اليوم.
ماذا حدث؟
في ٢١ أكتوبر ٢٠٢٦ أصدر فريق PHP تحديثًا أمنيًا طارئًا لثغرتين حرجتين هما CVE-2026-109618 وCVE-2026-109619، وتُعرفان معًا باسم PHP2Shell. تبلغ درجة كل منهما 9.2 من 10 وفق مقياس CVSS v4.0، وتتيح كل منهما للمهاجم تنفيذ أوامر على الخادم دون تسجيل دخول.
تسربت التفاصيل قبل موعد الإفصاح المخطط له. ورصد فريق استخبارات التهديدات في أمازون محاولة استغلال يعود تاريخها إلى ١٧ أكتوبر، أي قبل الإصلاح بأربعة أيام، وأفادت كلاود فلير بأن المحاولات ارتفعت من عشرات الآلاف إلى ملايين خلال نحو يوم من الإعلان.
هل موقعك متأثر؟
إن كان موقعك أو متجرك الإلكتروني أو نظامك يعمل على PHP فهو متأثر. ويشمل ذلك أي نظام مبني على:
- وردبريس وووكومرس
- لارفل (Laravel)
- دروبال وجوملا
- ماجنتو وبريستاشوب وأوبن كارت
- الأنظمة المخصصة ولوحات التحكم المكتوبة بـ PHP
الثغرة موجودة في PHP وليست في إضافة أو قالب أو كود مطوّر الموقع. لذلك قد يتعرض حتى موقع وردبريس أو لارفل المحدّث بالكامل للخطر إن كان إصدار PHP على الخادم قديمًا. وتشمل الثغرة جميع الإصدارات من 5.4 حتى 8.5.11. وتفيد هيئة CISA بأنها تشمل كل تثبيت PHP يخدم طلبات الويب، ومنها Apache مع mod_php وPHP-FPM وphp-cgi وFrankenPHP وLiteSpeed، وترى PHP أن Apache مع mod_php هو الأعلى خطورة.
لماذا تحدث؟ (بلغة مبسطة)
- CVE-2026-109618: عندما تنفد الذاكرة أثناء معالجة طلب، قد يتوقف PHP في منتصف تجهيز البيانات الداخلية للطلب. ثم تتعامل عملية التنظيف اللاحقة مع هذه البيانات غير المكتملة على أنها سليمة، وهذا ما يستغله المهاجم.
- CVE-2026-109619: قد تبقى بعض البيانات الداخلية لطلب ما بعد تحرير ذاكرتها، فيعيد طلب لاحق على نفس العملية استخدامها، وهذا قد يؤدي أيضًا إلى السيطرة على الخادم.
ماذا يستطيع المهاجم أن يفعل؟
- سرقة بيانات العملاء: الأسماء وأرقام الجوال والبريد الإلكتروني والطلبات والفواتير.
- قراءة الأسرار: ملفات الموقع وكلمات مرور قواعد البيانات ومفاتيح الربط مع أنظمتك الأخرى.
- زرع برمجيات خبيثة: تحويل زوارك إلى صفحات احتيال أو سرقة بيانات بطاقاتهم.
- تعطيل الموقع أو تشويهه: خسارة المبيعات والحجوزات وضرر بسمعة علامتك التجارية.
- مساءلة نظامية: مخاطر تتعلق بالتزامات حماية البيانات الشخصية (PDPL).
كيف تعالج المشكلة؟
- اسأل مطوّرك أو شركة الاستضافة عن إصدار PHP الذي يعمل عليه موقعك.
- حدّث إلى إصدار مصحح: 8.5.12 أو 8.4.27 أو 8.3.36 أو 8.2.35.
- إن كنت تعمل على إصدار أقدم من 8.2 فرقّه إلى إصدار مدعوم، فالإصلاحات الرسمية تغطي الفروع من 8.2 إلى 8.5 فقط.
- إن كانت استضافتك مُدارة فاطلب من المزوّد تأكيدًا كتابيًا بتطبيق التحديث.
- فعّل جدار حماية تطبيقات الويب (WAF) كطبقة إضافية. فهو يساعد لكنه لا يغني عن التحديث.
- افحص الموقع للتأكد من عدم اختراقه قبل التحديث.
تحديث: مشكلة ثالثة في PHP (CVE-2026-115560)
في ٢٣ أكتوبر كشف فريق PHP عن ثغرة أخرى قد تتيح تنفيذ أوامر، هي CVE-2026-115560. وهي تمس فقط التطبيقات ذات إعدادات جلسات غير معتادة، وتعدّها PHP خطرًا غير مرجّح. وإلى أن يصدر الإصلاح ضمن إصدار دوري، تنصح PHP بتعطيل ميزة تتبع تقدم رفع الملفات في الجلسات (session upload progress) إن لم تكن بحاجة إليها. ولم يُبلَّغ عن استغلال لهذه الثغرة.
كيف نتجنب مثلها مستقبلًا؟
- احتفظ بجرد محدّث لكل موقع ونظام إدارة المحتوى وإصدار PHP الخاص به.
- اعتمد إصدارات PHP المدعومة فقط.
- اجعل التحديثات دورية، واختبرها أولًا على نسخة تجريبية.
- ضع جدار حماية ومراقبة أمام مواقعك، وفعّل تنبيهات النشاط غير المعتاد.
- افحص مواقعك بانتظام، لا عند ظهور الأخبار فقط.
لست متأكدًا من وضع موقعك؟
يفحص فريق نيوب إصدار PHP وإعدادات الاستضافة والوضع الأمني لموقعك، ويساعدك في معالجة ما نكتشفه. كما نقدّم فحصًا أمنيًا مجانيًا للمواقع (بعدد محدود): أرسل لنا رابط موقعك ونرسل لك تقريرًا خلال ٢٤ ساعة. اطلب فحص موقعك الآن أو راسلنا على [email protected].
شارك هذا المقال
