أخطاء حرجة في PHP تجبر مواقع حكومية على الانقطاع قبل إصدار رقعة طارئة

قام فريق تطوير PHP بجدولة إصدار أمني خارج الدورة المعتادة في الساعة 14:00 بتوقيت UTC في 21 أكتوبر 2026، لإصلاح نقطتي ضعف حرجتين بعد تسرب التفاصيل على الإنترنت قبل يوم واحد، وفقاً لـ The Hacker News وشركة الأمن Sansec. تمت تتبع الثغرتين باسم CVE-2026-109618 و CVE-2026-109619 وأطلق عليهما الباحثون لقب غير رسمي "PHP2Shell"، لقب لم تعتمده فريق PHP نفسه، وفقاً لما أورده The Hacker News.

ما هي نقاط الضعف

وفقاً لتقرير Sansec التقني، CVE-2026-109618 هي خلل من نوع use-after-free في معالجة PHP لتقدم التحميل يمكنه تسرب ذاكرة الخادم — بما في ذلك كلمات المرور وعناصر جلسة العمل ومفاتيح TLS الخاصة — من خلال ملف تعريف الارتباط PHPSESSID، بطريقة قارنتها الشركة بخلل Heartbleed عام 2014. CVE-2026-109619 هي خلل use-after-free منفصل يحدث عندما يحدث خطأ مميت أثناء استنزاف الذاكرة، مع بلبلة النوع في OPcache الخاص بـ PHP، الأمر الذي قالت Sansec إنه يمكّن تنفيذ الأوامر بعيداً. يمكن الوصول إلى كلا الخللين من خلال طلبات multipart/form-data، وهو التنسيق الذي تستخدمه صفحات الويب لتحميل الملفات.

وصفت مركز الأمن السيبراني الوطني بالمملكة المتحدة (NCSC) الخطر في تنبيهها الصادر في 21 أكتوبر بأنه يسمح للمهاجم بـ "تنفيذ أوامر على أي خادم ويب يعمل بـ PHP" دون الحاجة إلى تسجيل الدخول، وصنفت القضية كحرجة.

لماذا انقطعت الحكومات والمنصات

لأن PHP يشكل حصة كبيرة من الويب، اختارت عدة منظمات إيقاف المواقع الموجهة للجمهور بدلاً من انتظار الرقعة. أفادت Techzine أن خدمات حكومية هولندية بما في ذلك MijnOverheid و DigiD والأنظمة البرلمانية تم إيقافها مؤقتاً، وذكرت قصة وكالة أنباء نقلتها KSL أن وكالات الأمن السيبراني في هولندا وفنلندا أوقفت المواقع الحكومية احتياطياً. أفادت Techzine أيضاً أن NCSC بالمملكة المتحدة و وكالة أمن البنية التحتية والأمن السيبراني الأمريكية (CISA) أصدرتا تنبيهات تحث المسؤولين على تطبيق الرقع أو تعطيل الأنظمة المتأثرة، بينما ظلت ويكيبيديا و Meta تعمل بتطبيق أنظمة تشغيل PHP معدلة وقواعد جدار حماية تطبيقات الويب بدلاً من الانقطاع التام.

أفادت Sansec أن مطور PHP الأساسي Gina Peter Banyard وصفت إيقاف الخوادم قبل وصول الرقعة بأنها الخيار الأكثر منطقية للمنظمات غير القادرة على تطبيق إصلاح فوري — نصيحة اتبعتها عدة هيئات هولندية.

قالت Cloudflare إنها بدأت ترى محاولات استغلال قبل إطلاق الرقعة الرسمية. وفقاً لتقرير KSL، قال رئيس التكنولوجيا في Cloudflare إن الشركة كانت تلاحظ هجمات مبكرة وتحدث باستمرار تخفيفاتها مع ظهور طرق هجوم جديدة، واصفاً حماية Cloudflare بأنها بمثابة تدبير مؤقت إلى أن يصل الإصلاح الرسمي من PHP. أفادت Sansec بشكل منفصل أن Cloudflare اكتشفت هجمات بدأت في الساعة 07:43 بتوقيت UTC في 21 أكتوبر، أي قبل حوالي ست ساعات من إطلاق الإصلاح المجدول من قبل PHP.

• WordPress و Drupal و Joomla و Magento، أنظمة إدارة المحتوى والتجارة الإلكترونية المبنية على PHP
• إصدارات محددة سميت من قبل Sansec على أنها معرضة مؤكدة: Magento 2.4.9 و WordPress 7.1.2 و Drupal 11.4.3 و Joomla 6.1.4 و MediaWiki 1.46.2 و Roundcube 1.7.4 و phpMyAdmin 5.2.3 و Nextcloud 35.0.1 و Laravel 13.11 و Symfony 8.1
• منصات الاستضافة المشتركة وألواح التحكم التي تجمع PHP، وفقاً لتنبيه NCSC
• خدمات الحكومة الهولندية DigiD و MijnOverheid، وفقاً لـ Techzine

نطاق التعرض: التقديرات متباينة

ما هو معروف وما هو غير معروف

أكد فريق PHP أن PHP 8.2 و 8.3 و 8.4 و 8.5 ستتلقى إصلاحات رسمية — متوقعة كإصدارات 8.5.12 و 8.4.27 و 8.3.36 و 8.2.35، وفقاً لـ The Hacker News — بينما لن تتلقى الفروع المنتهية الدعم 8.1 والأقدم رقع من قبل البائع. قالت Sansec، مع ذلك، إن الكود الخاطئ الأساسي يعود إلى PHP 5.4.0، مما يعني أن العديد من التثبيتات القديمة غير المدعومة تبقى معرضة للخطر دون وجود إصلاح رسمي. وفقاً لـ The Hacker News، لم يكن هناك استغلال عام للمفاهيم الأساسية متاحاً اعتباراً من تقريرها في 21 أكتوبر، ولم تضف الثغرات إلى كتالوج CISA للثغرات المعروفة المستغلة في ذلك الوقت — على الرغم من أن بيان Cloudflare اللاحق أشار إلى أن محاولات الهجوم كانت جارية بالفعل.

الخلفية: كيفية اكتشاف الثغرات

يعود الجدول الزمني الذي أعدته Sansec إلى الخلل الأول في بحث بدأ في 1 أغسطس 2026، من قبل باحث يستخدم اسم مستعار "Calif" يعمل مع OpenAI، الذي أبلغ عنه لفريق أمن PHP في 11 أغسطس. جاء تقرير ثانٍ ذي صلة من فريق Wiz Research — سمتهم Sansec باسم Sagi Tzadik و Shir Tamari و Nir Ohfeld و Tomer Schwartz — في 24 أغسطس. قالت Sansec إن فريقي البحث نسبا الفضل لنماذج الذكاء الاصطناعي في تسريع عملية العثور على الاستغلالات وتكييفها عبر إصدارات PHP، مع ذكر أن أحد الباحثين تمكن من الوصول إلى استغلال عملي في حوالي أسبوع واحد. تسرب تفاصيل الإفصاح المنسق والمحظور علناً في 20 أكتوبر، مما دفع PHP إلى تقديم إعلانها وتحديد إطلاق الرقعة في 21 أكتوبر.