(The Turkish Post) – أوقفت حكومات وموانئ وشركات في أوروبا وخارجها مواقع إلكترونية عن العمل يوم 21 أكتوبر 2026، بينما سارع مديرو الأنظمة إلى تثبيت إصلاحات لثغرات PHP حرجة أصدر مطورو لغة البرمجة تحديثات لسدها بعد ظهر اليوم نفسه.
وأطلق مشروع PHP الإصدارات 8.5.12 و8.4.27 و8.3.36 و8.2.35 لإغلاق ثغرتين تحملان الرمزين CVE-2026-109618 وCVE-2026-109619، أطلق عليهما الباحثون اسم PHP2Shell. وقيّم فريق الأمن في PHP خطورة كل منهما بـ9.2 من 10، وقال إنهما تتيحان للمهاجم تشغيل شيفرة على خادم الويب دون تسجيل الدخول. ووفق شركة “ويز” المتخصصة في أمن الحوسبة السحابية، تعمل لغة PHP في أكثر من 70% من المواقع الإلكترونية.
ما تتيحه ثغرات PHP للمهاجمين
تنشأ الثغرة الأولى من طريقة تعامل PHP مع نفاد الذاكرة، إذ قال فريق PHP إن معالجة نفاد الذاكرة قد تقطع عمل اللغة بينما بيانات الطلب الداخلية لم تكتمل تهيئتها بعد، فتتعامل عملية التنظيف اللاحقة مع هذه البيانات المعطوبة على أنها صالحة.
أما الثانية فتتعلق ببيانات داخلية تبقى قائمة بعد تحرير الذاكرة المخصصة لها، بحيث يمكن لطلب لاحق يعالجه العامل نفسه أن يستخدم هذه البيانات القديمة قبل إعادة ضبطها. وأدرج فريق PHP كشف محتوى الذاكرة ضمن الآثار المؤكدة، ما يعني احتمال تسرّب بيانات مثل كلمات المرور ومفاتيح الوصول المحفوظة في ذاكرة الخادم.
وقال الفريق إن جميع تثبيتات PHP التي تخدم طلبات الويب معرضة للخطر، بما فيها الإعدادات الشائعة مثل PHP-FPM وخادم أباتشي مع وحدة mod_php. ويرى باحثون أمنيون أن الخوادم العاملة بأباتشي مع mod_php هي الأكثر عرضة، لأن استغلالا جرى عرضه يمكن أن ينطلق قبل تشغيل أي شيفرة خاصة بالتطبيق.
مواقع حكومية خارج الخدمة احترازيا
في هولندا، توقف الموقع الإلكتروني للمركز الوطني للأمن السيبراني نفسه، وموقع ميناء روتردام، والبوابة الحكومية الرئيسية قبل وصول الإصلاح. كما تعطلت لساعات بوابة الخدمات الحكومية للمواطنين “ميناوفرهايد” وخدمة الهوية الرقمية “ديجي دي”. وقالت وكالة “لوخيوس” التي تدير البوابة إنها أوقفتها إجراء احترازيا، قبل أن تعود الخدمتان إلى العمل مساء.
وفي فنلندا، فصل مركز تقنية المعلومات الحكومي “فالتوري” مؤقتا المواقع الحكومية المفتوحة للجمهور، ووصف الخطوة بأنها وقائية. وفي الدنمارك أوقفت الهيئة العامة لتقنية المعلومات “كومبيت” منصة التواصل المدرسي الوطنية، فيما عطّلت وزارة الداخلية الفرنسية مواقع إدارية تابعة للسلطات المحلية. كما أوقفت شركة نينتندو بعض خدماتها، وأوقفت مؤسسة ويكيميديا، المشغلة لموسوعة ويكيبيديا، موقعها الخاص بتطوير البرمجيات “فابريكيتور” لأعمال صيانة وصفتها بالحرجة.
تقديم موعد إصلاح PHP2Shell بعد تسريب
وأعلن فريق PHP عن الإصدار يوم 20 أكتوبر وحدد له الساعة 14:00 بالتوقيت العالمي يوم 21 أكتوبر. وقالت مؤسسة PHP إن الموعد الأصلي كان 22 أكتوبر، لكنه قُدّم يوما واحدا بعد تسرّب أرقام التعريف الخاصة بالثغرتين على الإنترنت.
ونسبت المؤسسة الفضل في اكتشاف ثغرات PHP والإبلاغ عنها إلى باحثين من شركات “كاليف” و”أوبن إيه آي” و”ويز” وغيرها. وتتبّع باحثو “كاليف” أقدم شيفرة متأثرة إلى الإصدار 5.4 الذي صدر عام 2012، ما يعني أن كل الإصدارات منذ ذلك الحين معرضة.
وقال كبير مسؤولي التكنولوجيا في شركة كلاودفلير داين كنخت إن الشركة ترصد “هجمات مبكرة بدأت بالظهور”، ووصف قواعد جدار الحماية التي نشرتها بأنها حل مؤقت. وقالت شركة الأمن السيبراني “ووتش تاور” إنها أعادت إنتاج الثغرتين وترصد محاولات لاستغلالهما ضد خوادم.
التحديث الأمني العاجل لمديري المواقع
وأكد فريق PHP أن تثبيت التحديث الأمني هو الإصلاح الكامل الوحيد. وتلقت توزيعات لينكس والجهات التي تقدم دعما طويل الأمد الإصلاحات قبل الإعلان العام، لذا يمكن لأصحاب الخوادم الحصول على الحزم المحدثة منها أو من مزودي الاستضافة. وبعد التحديث، يتعين إعادة تشغيل PHP-FPM أو أباتشي لتحميل الشيفرة المصححة.
وتمثل الإصدارات القديمة مشكلة أكبر، إذ لم يعد مشروع PHP يقدم تحديثات للإصدار 8.1 وما قبله. ونشر فريق الأمن إصلاحات مصغّرة للشيفرة المصدرية للإصدارات 7.4 و8.0 و8.1، بينما لا تحصل الإصدارات من 5.4 إلى 7.3 على أي إصلاح.
ونصح فريق الاستجابة لطوارئ الحاسوب في الاتحاد الأوروبي المؤسسات بحصر تطبيقاتها المبنية على PHP وتحديثها في أسرع وقت، وبالنظر في عزل الأنظمة المتصلة بالإنترنت عن الشبكات العامة إذا تعذر الإصلاح الفوري. كما دعت هيئات الأمن السيبراني في بريطانيا وهولندا وأستراليا واليابان إلى تثبيت التحديث الأمني فورا، أو إيقاف المواقع المعرضة لثغرات PHP إلى حين إصلاحها.
