تأكد استغلال ثغرتين أمنيتين حرجتين في لغة البرمجة “PHP”، تُعرفان مجتمعتين باسم “PHP2Shell” وتحملان الرمزين CVE-2026-109618 وCVE-2026-109619، بنجاح في هجمات فعلية، بعدما كانت محاولات الاستغلال السابقة مقتصرة على عمليات مسح ومحاولات فاشلة، بحسب موقع "بليبينغ كمبيوتر" المتخصص.

وتتيح الثغرتان تنفيذ أوامر برمجية عن بُعد على الخوادم المصابة. وقد رصد النشاط الخبيث عادل كريمي، مسؤول الرصد والاستجابة في شركة "بيربليكسيتي"، إذ سجّلت أنظمته الخادعة (Honeypots) أدلة على تنفيذ ناجح لأوامر عن بُعد ضد خادم "أباتشي" يعمل بإصدار PHP 8.4.26.

وقال كريمي إن ما رُصد "بات الآن تنفيذاً مؤكداً لأوامر عن بُعد مع كشف قابل للاستخدام للذاكرة، وليس مجرد عطل يعقبه نشاط مشبوه"، موضحاً أن الاستجابة تضمنت تفريغاً لبيانات بحجم 800 كيلوبايت، استُخدم لاحقاً في حمولة التنفيذ. غير أنه أشار إلى أن الأدلة تخص بيئة تشغيل مؤاتية عمداً، ولا تقيس مدى موثوقية الاستغلال في إعدادات أو تطبيقات أخرى.

وأكد الباحث في شركة "إكسبل" ماركوس هاتشينز هذه النتائج، معتبراً أنها "بفارق كبير أعلى تأكيد من حيث الجودة لاستغلال PHP2Shell فعلياً حتى الآن".

من التسريب إلى الاستغلال

وكان فريق أمن “PHP” قد أصدر تحديثات طارئة لسد الثغرتين الأربعاء 21 تشرين الأول، بعد يوم واحد من دعوته مديري الأنظمة إلى الاستعداد لتثبيتها فور صدورها. وكانت تفاصيل الثغرتين، بما فيها رموزها ونصائح الحماية التي قُدّمت لبعض مزودي البنى التحتية الحيوية، قد تسرّبت عبر الإنترنت، كما نُشرت نماذج لاستغلالها قبل صدور التحديثات، لكن الفريق أكد أن أياً منها لم يكن فعالاً.

ورصدت شركات أمن سيبراني عدة، بينها "كلاودفلير" و"هادريان" و"ووتش تاور" و"باتش ستاك"، محاولات استغلال قبل الكشف العلني، لكنها صنّفتها جميعاً فاشلة. كما رصد باحثو "أمازون" هجمات تستهدف الثغرتين قبل أربعة أيام من صدور التحديثات، غير أن النشاط اقتصر، حتى نتائج كريمي، على "المسح وجمع المعلومات واستخدام أدوات استغلال لا تعمل، من دون أي اختراقات معروفة"، وفق فريق الأبحاث في شركة "داتامينر".

ورغم أن الوكالة الأميركية للأمن السيبراني وأمن البنية التحتية (CISA) نشرت الجمعة قاعدة لرصد محاولات الاستغلال، فإنها لم تصنّف الثغرتين بعد على أنهما مستغلّتان فعلياً.

ثغرة جديدة بلا تحديث

وفي سياق متصل، نشر فريق “PHP” الجمعة إجراءات حماية مؤقتة لثغرة جديدة تتيح تنفيذ أوامر عن بُعد وتحمل الرمز CVE-2026-115560، ولم يصدر لها أي تحديث بعد، موضحاً أنها لا تُستغل إلا في أنظمة تجمع بين "إعدادات وشيفرة تطبيقات غير اعتيادية". ونصح مديري الأنظمة، إلى حين صدور التحديث، بتعطيل خاصية session.upload_progress.enabled عبر ضبطها على القيمة 0.

وتُستخدم لغة “PHP” في نحو 70% من المواقع الإلكترونية حول العالم، فيما يتجاوز عدد خوادمها المكشوفة على الإنترنت 5.1 ملايين، بينها نحو 3.8 ملايين لديها منفذ واحد على الأقل مفتوح أمام الهجمات، وفق تقديرات حديثة لمنصة "فايروس توتال". (BleepingComputer)