ما هي الثغرة الأمنية في PHP، وما هي المواقع المعرضة للخطر؟ عثمان دميرجان يشرح لـ Atlas360

أطلقت رئاسة الأمن السيبراني عملية فحص في جميع أنحاء تركيا بشأن ثغرتين بالغتي الخطورة في PHP، ودعت مديري المواقع إلى إجراء التحديثات.

وفقاً لبيان الرئاسة، يهدف العمل إلى تحديد الأنظمة الضعيفة والحد من الأضرار المحتملة؛ كما تم إرسال إشعارات عاجلة إلى المؤسسات المعنية. ولا يشير الفحص الجاري في تركيا إلى اكتشاف سرقة بيانات في مؤسسة معينة؛ ويُطلب من المؤسسات الحكومية ومشغلي البنى التحتية الحيوية والشركات التحقق من أنظمتهم.

الثغرة الأمنية في PHP تقع أسفل التطبيق

وفقاً لإعلان فريق أمن PHP، تم توفير التحديثات للتصحيحات المسماة PHP2Shell في 21 أكتوبر. وعند توفر شروط معينة، يمكن للمهاجمين تنفيذ تعليمات برمجية على الخادم المستهدف دون الحاجة إلى مصادقة؛ وتشمل العواقب المحتملة لذلك تسريب المعلومات، وتعديل الصفحات، وتوقف الخدمات.

تُصنّف الثغرات المدرجة في السجلات الفنية برمزَي المعرف CVE-2026-109618 وCVE-2026-109619 في الفئة الحرجة بدرجة 9.2 على مقياس من 10 نقاط. وتعتبر التوضيحات الرسمية لـ PHP التثبيتات التي تلبي الطلبات القادمة من الإنترنت معرضة للخطر؛ بينما تعتمد طريقة الهجوم القابلة للاستخدام على إصدار البرمجيات وإعدادات الخادم.

تُعد PHP لغة تعمل على خادم الموقع بدلاً من متصفح الزائر؛ وهي تساعد في معالجة المعلومات الموجودة في قاعدة البيانات وإعداد الصفحة المراد عرضها. ونظراً لأن WordPress وDrupal وJoomla وMediaWiki المستخدَمة في بنية Wikipedia التحتية تستخدم هذه اللغة، فإن المخاطر لا تقتصر على حدود منتج واحد لإدارة المواقع.

في التقييم الفني، يُعزى التهديد إلى استخدام الذاكرة وما يحدث عندما تتوقف العمليات بسبب أخطاء. فإن إمكانية الوصول مجدداً إلى منطقة الذاكرة التي ينبغي عدم استخدامها بعد انتهاء العملية تُوجد احتمالاً لشن هجوم عبر تثبيت PHP الأساسي، حتى لو لم يكن هناك خطأ في الشفرة البرمجية للتطبيق.

أعد الباحثون أمثلة توضح إمكانية استغلال الثغرة في WordPress وDrupal وJoomla. وتكشف هذه الأمثلة عن الإمكانية الفنية للتطبيق؛ لكنها لا تشكل دليلاً على اختراق كل موقع على المنصات المذكورة أو أن كل تثبيت مفتوح لنفس مسار الهجوم.

خدمة الاستضافة تحدد نطاق الحماية

أعلنت شركة Automattic أن المواقع المستضافة على WordPress.com وWordPress VIP وWP Cloud وPressable وTumblr محمية. ويقتصر ضمان الشركة على خدماتها الخاصة؛ ولا يمكن لمستخدمي WordPress الذين يستفيدون من مزودين آخرين أو يديرون خوادمهم بأنفسهم أن يعتبروا أنظمتهم آمنة بناءً على البيان نفسه.

وصت وكالة الأمن القومي الأمريكية المؤسسات التي لا تستطيع تثبيت التصحيح البرمجي فوراً بإزالة أنظمتها من الوصول إلى الإنترنت حتى يتم القضاء على المخاطر. كما طلب المركز الوطني للأمن السيبراني في المملكة المتحدة تقييم الإغلاق المؤقت في الحالات التي يتأخر فيها التحديث؛ ومثل هذا الإجراء لا يشير بمفرده إلى نجاح الهجوم.

يعيد التقييم الفني لمؤسسة PHP أثر خطأ الذاكرة المتسبب في إحدى الثغرات إلى عام 2024. وتذكر المؤسسة أن عدم القدرة على إثبات هجوم عن بُعد قابل للتنفيذ في ذلك التاريخ، والآثار الجانبية للإصلاحات المحتملة، والمحدودية في قدرات الموظفين تُعد من العوامل المؤدية إلى هذا التأخير.

استخدم الباحثون في Calif وWiz أدوات الذكاء الاصطناعي لفحص البرمجيات وتطوير طرق الهجوم. وتذكر Wiz أن هذه الأدوات قللت من الوقت اللازم للعثور على طرق معقدة؛ في حين تفيد مؤسسة PHP بأن أبحاث عام 2026 جسدت الخطر وسارعت في عملية الإصلاح.

يجب أن يشمل فحص التصحيح بنية PHP التحتية

تُدرج الإصدارات التي تتضمن الإصلاحات الصادرة عن فريق أمن PHP كـ PHP 8.5.12 و8.4.27 و8.3.36 و8.2.35. ومع ذلك، ونظراً لأن مزودي أنظمة التشغيل يمكنهم نقل التصحيحات إلى حزمهم الخاصة، فإنه ينبغي التحقق من حالة أمان الحزمة إلى جانب رقم الإصدار الظاهر أثناء الفحص.

إجراء تحديثات لنواة WordPress أو ملفات القوالب أو الإضافات لا يحل بمفرده مشكلة PHP الأساسية. ويحتاج مستخدمو خدمات الاستضافة إلى الحصول على تأكيد من المزود؛ ورغم أن إجراءات مثل جدران الحماية تحظر طرقاً معينة، إلا أنها لا تحل محل الإصلاح البرمجي.

يوصي التحذير المشترك الصادر عن وكالات الأمن السيبراني في الاتحاد الأوروبي بمعالجة الأنظمة التي يمكن الوصول إليها عبر الإنترنت أولاً والتنسيق مع مزودي الخدمات. وإذا تأخر التحديث وتم اختيار الإغلاق المؤقت، فقد تضطر المؤسسات إلى التضحية باستمرارية الخدمة المقدمة لمستخدميها أثناء الحد من المخاطر الفنية.

لا يحتاج المستخدمون النهائيون إلى تثبيت تصحيح PHP على هواتفهم أو أجهزة الكمبيوتر الشخصية الخاصة بهم؛ فالإجراء مسؤولية القائمين على تشغيل الموقع. ويوصي ساليل كانهيري، الباحث في جامعة نيو ساوث ويلز (UNSW Sydney)، بمتابعة الإعلانات الأمنية للخدمات المستخدمة؛ ويجب الحذر من الروابط المزيفة عند تقييم إشعارات إعادة تعيين كلمة المرور.