أصدر مطورو لغة البرمجة PHP تحديثات أمنية عاجلة لإصلاح ثغرتين خطيرتين، قد تتيحان للمهاجمين تشغيل تعليمات برمجية على خوادم المواقع عن بُعد، من دون تسجيل الدخول. وقالت شركة Cloudflare إنها رصدت محاولات هجوم تستهدف عملاءها.
وحذّر فريق PHP، في بيان رسمي، من أن تثبيت التحديثات هو الحل الآمن لمعالجة الثغرتين، المعروفتين باسم "PHP2Shell". وقد تساعد وسائل الحماية الإضافية في صد بعض محاولات الهجوم، لكنها لا تغني عن تحديث PHP.
ما هي PHP؟ ولماذا قد تطال المشكلة مواقع كثيرة؟
تُعد PHP من أشهر لغات البرمجة المستخدمة على خوادم المواقع، وتساعد على تجهيز الصفحات والمحتوى الذي يطلبه المستخدم. فعندما يفتح شخص صفحة في متجر إلكتروني أو موقع إخباري، قد ينفذ الخادم تعليمات مكتوبة بهذه اللغة قبل إرسال الصفحة إلى متصفحه.
وتعتمد منصات واسعة الانتشار على لغة PHP، من بينها WordPress وDrupal وJoomla، وكذلك MediaWiki، البرنامج الذي يشغّل ويكيبيديا.
لذلك قد يؤثر خلل في PHP نفسها في مواقع تستخدم أنظمة مختلفة، حتى لو لم تتضمن برمجيات تلك المواقع مشكلة أمنية مستقلة.
وقالت شركة الأمن السيبراني Wiz، التي اكتشفت الثغرتين، إن باحثيها تمكنوا من استغلالهما في اختبارات على مواقع تستخدم منصات لإدارة المحتوى.
وأوضحت أن المشكلة موجودة في PHP نفسها، ولا يتطلب استغلالها وجود خلل في التطبيق الذي يعمل باستخدامها.
وأشارت إلى أن اللغة تُستخدم في تشغيل نحو 70% من مواقع الإنترنت، ما يوضح اتساع نطاق الخطر المحتمل، دون أن يعني ذلك أن جميع هذه المواقع قابلة للاستغلال بالطريقة نفسها.
كيف تعمل الثغرتان؟
تتعلق الثغرتان بطريقة تعامل لغة PHP مع الذاكرة أثناء معالجة طلبات الموقع، خصوصاً عندما يتوقف تنفيذ أحد الطلبات بسبب خطأ.
والذاكرة هنا مساحة مؤقتة يستخدمها الخادم لإنجاز المهام، ويمكن تشبيهها بمكتب توضع عليه الملفات اللازمة لإنجاز طلب معين، ثم تُزال هذه الملفات أو يُعاد استخدام المساحة بعد انتهاء العمل.
تظهر الثغرة الأولى، المسجلة بالرقم CVE-2026-109618، عندما تنفد الذاكرة في توقيت حساس. فقد يتوقف PHP قبل أن يجهّز بعض البيانات الداخلية بالكامل، ثم يتعامل معها أثناء إنهاء الطلب كما لو كانت مكتملة وسليمة. وفي ظروف معينة، يمكن استغلال هذا الخلل لتشغيل تعليمات برمجية على الخادم.
وقال مطورو PHP إن بعض البيئات التي تستخدم خادم Apache مع المكوّن mod_php قد تكون معرضة للخطر قبل أن يبدأ برنامج الموقع نفسه في العمل.
أما الثغرة الثانية، المسجلة بالرقم CVE-2026-109619، فتتعلق ببقاء إشارات إلى بيانات بعد تحرير مساحة الذاكرة المخصصة لها.
وبعد انتهاء طلب ما، يُفترض أن يتوقف البرنامج عن الرجوع إلى بياناته المؤقتة، لكن الخلل قد يدفعه، أثناء معالجة طلب لاحق، إلى استخدام إشارات قديمة إلى مساحة ذاكرة لم تعد صالحة لذلك الاستخدام.
وبصورة مبسطة، يشبه ذلك احتفاظ موظف بعنوان درج قديم، ثم عودته إليه لاحقاً واستخدام محتوياته رغم أنها تغيرت.
وقد يؤدي استغلال هذا الخلل، وفق شروط تختلف بحسب إصدار PHP وإعدادات الخادم، إلى تنفيذ تعليمات يرسلها المهاجم.
ماذا يمكن أن يفعل المهاجم؟
تختلف نتائج استغلال الثغرات الجديدة باختلاف النظام المستهدف وإعداداته وطريقة استغلال الثغرة.
وتشمل المخاطر تعطيل الموقع، أو كشف معلومات حساسة، أو تشغيل تعليمات برمجية على الخادم.
وقالت Wiz إنها تمكنت في اختبارات من قراءة معلومات من ذاكرة PHP. وأوضحت أن هذه الذاكرة قد تحتوي على كلمات مرور ورموز مصادقة ومفاتيح تتيح الوصول إلى خدمات برمجية، كما أظهرت الاختبارات إمكانية تنفيذ تعليمات برمجية عن بُعد من دون تسجيل الدخول.
هل بدأت الهجمات بالفعل؟
قالت Cloudflare إنها رصدت حركة هجومية تستهدف عملاءها، ولاحظت أن المهاجمين عدّلوا الطلبات التي يرسلونها لمحاولة تجاوز وسائل الحماية.
وعرض تدوينة الشركة الرسمية قواعد حماية لعملائها الذين يستخدمون جدار حماية تطبيقات الويب WAF، بما يشمل مستخدمي الخطة المجانية.
وتفحص هذه الأدوات الاتصالات الواردة إلى الموقع، في محاولة لاعتراض الطلبات الضارة قبل وصولها إلى الخادم.
لكن Cloudflare شددت على ضرورة تثبيت تحديثات PHP حتى مع تفعيل الحماية. فتحديث WordPress أو إضافاته وحده لا يعالج الخلل الموجود في PHP نفسها، وهي البرنامج الذي يشغّل هذه التطبيقات على الخادم.
الذكاء الاصطناعي يكتشف ثغرة
قالت OpenAI إن شركة Calif اكتشفت إحدى الثغرتين باستخدام نموذج GPT-5.6 Sol، ضمن مبادرة Patch the Planet. وأضافت أن Wiz اكتشفت الثغرتين وأبلغت عنهما بصورة مستقلة، وفق بيان رسمي.
وتولى مطورو PHP إعداد الإصلاحات وإصدارها، فيما شارك باحثون وشركات أمن وبنية تحتية في اختبارها والتنسيق لتجهيز وسائل الحماية قبل الإعلان عن الثغرات.
وترى OpenAI أن الواقعة تبرز قدرة الذكاء الاصطناعي على المساعدة في كشف أخطاء أمنية واسعة الأثر، لكنها أشارت أيضاً إلى أن القدرات نفسها قد تساعد المهاجمين على تطوير أدوات استغلال بسرعة أكبر. OpenAI
التحديث هو الحل
أصدر فريق PHP تحديثات أمنية للفروع المدعومة، ودعا المستخدمين إلى تثبيت الإصدار الذي يطابق الفرع المستخدم على خوادمهم: PHP 8.5.12 لمستخدمي فرع 8.5، وPHP 8.4.27 لفرع 8.4، وPHP 8.3.36 لفرع 8.3، وPHP 8.2.35 لفرع 8.2. أما مستخدمو PHP 8.1 والإصدارات الأقدم، فعليهم مراجعة مزود الاستضافة أو نظام التشغيل لمعرفة ما إذا كان يوفر تحديثاً أمنياً لها، أو الانتقال إلى إصدار مدعوم.
وتلقى موزعو أنظمة Linux ومزودو الدعم طويل الأجل الإصلاحات لإعداد حزمهم. لذلك قد يحصل بعض المستخدمين على التحديث من مزود نظام التشغيل أو شركة الاستضافة، وعليهم مراجعة تنبيهات الجهة التي تدير خوادمهم للتأكد من تطبيقه.
وعلى صاحب الموقع التواصل مع المسؤول التقني أو شركة الاستضافة، وطلب تأكيد تثبيت التحديث الأمني على الخادم. فوجود أحدث نسخة من WordPress، مثلاً، لا يكفي إذا كان الخادم لا يزال يستخدم إصداراً متأثراً من PHP.
أما المستخدم العادي، فلا يعالج تحديث المتصفح أو تغيير إعدادات الهاتف هذه الثغرات، لأنها موجودة في الخادم الذي يشغّل الموقع. وتعتمد حمايته منها أساساً على تحديث الجهة المشغّلة لأنظمتها.
