أكدت وكالة الأمن السيبراني وأمن البنية التحتية الأمريكية (CISA) مؤخراً أن المهاجمين يستغلون بنشاط ثغرتي PHP2Shell الخطيرتين (CVE-2026-109618 و CVE-2026-109619). جاء هذا التأكيد بعد أن أضافت CISA الثغرات إلى كتالوج الثغرات المستغلة المعروفة (KEV) الخاص بها، مما يلزم الوكالات الفيدرالية بإصلاحها بحلول 29 أكتوبر.
تحمل كلتا الثغرتين تصنيف 9.2 على مقياس CVSS ويمكن استغلالهما دون مصادقة لتشغيل تعليمات برمجية عن بعد على خوادم PHP المعرضة للخطر. هذا خبر سيء بالنظر إلى مدى اعتماد الويب على PHP، وعدد المواقع التي يمكن أن تظل مكشوفة.
الاستغلال بدأ قبل الإصلاحات
على الرغم من أن الإصلاحات وصلت في 21 أكتوبر، إلا أن المهاجمين كانوا أسرع. رصدت AWS محاولات لاستغلال الثغرات في وقت مبكر من 17 أكتوبر، أي قبل أربعة أيام من الكشف العلني عنها. هذا يشير إلى أن الجهات الخبيثة كانت على دراية بالثغرات وتعمل على استغلالها قبل أن تتاح للمطورين فرصة التحديث.
في 24 أكتوبر، سجل الباحث الأمني Adel Karimi من Perplexity 35 عملية تنفيذ ناجحة للـ shell عبر ثلاث مصائد (honeypots) تعمل بنظام PHP 8.4.26 تحت Apache mod_php. وقد جاءت الهجمات من عنواني IP واستخدمت استنفاد الذاكرة والكشف لتحقيق تنفيذ التعليمات البرمجية عن بُعد. ورصدت مختبرات Threat Intelligence Lab بجامعة Delft أكثر من 50,000 طلب استغلال لـ PHP2Shell من أكثر من 600 عنوان IP عبر 70 دولة، حيث قامت 171 من هذه العناوين بإرسال رموز استغلال أو برمجيات خبيثة.
تزامنت هذه الأحداث مع جهود واسعة النطاق من شركات البنية التحتية. عملت Cloudflare بلا كلل لحماية عملائها والإنترنت ككل، حيث قدمت تحديثات للعملاء وتدابير تخفيف متعددة لمعالجة الثغرات الخطيرة في PHP.
ماذا يعني هذا للمطورين؟
مع تأكيد CISA الرسمي للاستغلال النشط، لم يعد هناك مجال للانتظار. يجب على المسؤولين التحديث فوراً إلى PHP 8.5.12 أو 8.4.27 أو 8.3.36 أو 8.2.35، حسب فرع الإصدار الذي يستخدمونه. الأنظمة التي لا يمكن تأمينها يجب إزالتها من الإنترنت حتى يتم معالجة المخاطر.
هذا تذكير قاسٍ بأن التحديثات الأمنية ليست مجرد توصيات، بل ضرورة حتمية لحماية تطبيقاتنا وبيانات المستخدمين. في بيئة تهديدات سريعة التطور، يصبح تجاهل هذه التحذيرات بمثابة دعوة مفتوحة للمهاجمين.
المصادر: theregister.com، blog.cloudflare.com