التكنولوجيا · خبر
PHP2Shell: نقاط ضعف حرجة في PHP تثير اندفاعة إصلاح عالمية وإغلاقات مواقع
نُشر:
باختصار
نقطتان حرجتان في PHP تُعرفان باسم "PHP2Shell" تسمحان للمهاجمين بتشغيل التعليمات البرمجية على خوادم الويب دون تسجيل الدخول، وأصدرت PHP تصحيحات طوارئ في 21 أكتوبر 2026. تؤثر الأعطال على تثبيتات PHP خلف ما يقرب من 70٪ من المواقع، مما دفع رئيس الوزراء الياباني ومكتب الأمن السيبراني إلى حث الشركات على إصلاحها فوراً أو إيقاف مواقعها، بينما أبلغت Cloudflare والوكالات الحكومية عن محاولات استغلال خلال ساعات من الكشف.
هذه النسخة ترجمة آلية للنص الأصلي (English). اقرأ النص الأصلي
في 21 أكتوبر 2026، أصدر مشروع PHP تحديثات الطوارئ—الإصدارات 8.5.12 و8.4.27 و8.3.36 و8.2.35—لإصلاح نقطتي ضعف أمنيتين حرجتين أطلق عليهما الباحثون الأمنيون والبائعون اسم "PHP2Shell"، وفقاً لـ Help Net Security والمركز الكندي لأمن الفضاء الإلكتروني. يتم تتبع الأعطال بـ CVE-2026-109618 و CVE-2026-109619، وكلاهما موصوف بأنه مشكلة ذات خطورة حرجة؛ المصادر المراجعة لهذه المقالة لم تستشهد بدرجة CVSS رقمية رسمية.
ما يفعله الثغرة الأمنية
كلا الأعطال عبارة عن أخطاء في سلامة الذاكرة في كيفية تعامل PHP مع الطلبات في ظروف غير عادية، حسبما أفادت Bleeping Computer و Help Net Security. يحدث CVE-2026-109618 عندما يقطع خطأ نفاد الذاكرة PHP أثناء إعداد بيانات الطلب الداخلية جزئياً فقط، لذلك تعتبر روتينات التنظيف لاحقاً تلك البيانات غير المكتملة صحيحة. CVE-2026-109619 هو عطل في الحالة الراكدة: يمكن تحرير الذاكرة المرتبطة بطلب واحد وإعادة استخدامها بواسطة طلب لاحق على نفس العامل قبل إعادة تعيينها بشكل صحيح، مما قد يفضح البيانات أو يسمح بتنفيذ التعليمات البرمجية.
صنف مركز الأمن السيبراني الكندي كلا العطلين كثغرات Use-After-Free (CWE-416) وقال إن الهجوم الناجح يسمح بتشغيل تعليمات برمجية تعسفية على الخادم من قبل مهاجم غير مصرح به، دون الحاجة إلى كلمة مرور أو أي إجراء من جانب المستخدم. قالت الوكالة إن تطبيقات mod_php تواجه أعلى مخاطر، حيث يمكن لاستغلال معروض أن يثير الخلل قبل أن تتاح لأي كود تطبيق فرصة للتشغيل — وصف استخدم أيضاً من قبل فريق أمان PHP، كما أفادت Bleeping Computer.
يؤثر الخلل على كل تثبيت PHP يخدم طلبات الويب، بما في ذلك PHP-FPM و mod_php الخاص بـ Apache و php-cgi و FrankenPHP و LiteSpeed، وفقاً لـ Bleeping Computer والمشورة الكندية. كان الرمز الأساسي موجوداً في PHP لأكثر من عقد، حسب Fortune، على الرغم من أن الإصلاحات الرسمية تم إصدارها للفروع المدعومة بنشاط 8.2–8.5، مع توفير عمليات النقل على مستوى المصدر للفروع 7.4 إلى 8.1 التي تجاوزت تواريخ انتهاء الدعم.
كيف تم اكتشافها، ولماذا يهم الذكاء الاصطناعي هنا
وفقاً لـ Fortune، كان الرمز المعيب موجوداً في PHP لأكثر من عقد، لكن ثلاث جهات منفصلة تقاربت عليه في أغسطس 2026: شركة الأمن Wiz وشركة تُدعى Calif و OpenAI، تعمل مع مؤسسة PHP على الإصلاح والكشف المنسق. أفادت Fortune بأن Wiz استخدمت نماذج الذكاء الاصطناعي بما في ذلك GPT-5.6 Sol من OpenAI و Gemini 4 Argon من Google للمساعدة في فهم الضعف وتحويله إلى استغلال عملي. قالت Wiz لـ Fortune إن القضية تمثل تحولاً يحركه الذكاء الاصطناعي، قائلة إنه بينما كان الرمز الضعيف موجوداً لأكثر من عقد، ما تغير هو قدرة الباحثين على استخدام الذكاء الاصطناعي لفهم الضعف وتحويله إلى استغلال عملي.
أفادت Fortune أيضاً بأن OpenAI، في بيانها الخاص، قالت إن الحادثة أظهرت كيف يمكن للذكاء الاصطناعي أن يساعد في اكتشاف الأعطال الأمنية ذات التأثير على نطاق الإنترنت، مع الاعتراف بأن نفس قدرات الذكاء الاصطناعي يمكنها أيضاً أن تساعد المهاجمين على تطوير الأدوات والاستغلالات الهجومية بسرعة أكبر.
محاولات الاستغلال والرد المبكر من Cloudflare
قالت Cloudflare في مدونتها الخاصة إنها فعّلت قواعد جدار الحماية لتطبيقات الويب في 03:02 بتوقيت UTC في 21 أكتوبر، وهو ما وصفته بأنه تقريباً تسع ساعات قبل الكشف العلني عن الثغرات الأمنية. قامت الشركة بطرح سبع "قواعل عامة - تنفيذ شاذ" لعملاء المستوى المجاني ومجموعة منفصلة من سبع قواعد معادلة للخطط المدفوعة، بالإضافة إلى قاعدة واحدة إضافية تتحقق من الطلب والرد ضمن نفس المعاملة، وفقاً لمنشور Cloudflare كما لخصتها ppc.land. قال المنشور نفسه إن Cloudflare لاحظت المهاجمين يغيرون حمولات الاستغلال الخاصة بهم لاحقاً في محاولة واضحة للالتفاف حول القواعد الجديدة، على الرغم من أنها لم تنشر أرقام حجم الهجوم الدقيقة.
بشكل منفصل، قالت فريق التهديدات الخاص بـ Amazon إنها كانت قد اكتشفت محاولات استغلال ضد الأعطال بدءاً من 17 أكتوبر 2026—أربعة أيام قبل التصحيح العام—وفقاً لـ Bleeping Computer، مما يشير إلى أن بعض الجهات التهديدية كانت لديها إمكانية الوصول إلى تفاصيل الاستغلال قبل الكشف العام. بالمقابل، ذكرت مشورة مركز الأمن السيبراني الكندي أنه، في الوقت الذي تمت كتابتها، لم تحدد استغلالاً نشطاً، مع التحذير من أن الوضع يمكن أن يتغير بسرعة. يعكس التقييمان نقاط المراقبة والتوقيت المختلفة بدلاً من التناقض في الحقائق.
اليابان: الحكومة تحث على الإصلاح أو الإغلاق
جذبت الثغرة الأمنية اهتماماً مكثفاً بشكل خاص في اليابان. أصدر المكتب الوطني الياباني للأمن السيبراني، وهو هيئة خلف NISC أعيد تنظيمها في يوليو 2025، إشعاراً يحث المشغلين على التحقق مما إذا كانت مواقعهم تعمل PHP والتصرف بسرعة، وفقاً لتقرير BigGo Finance حول بيان الوكالة. نشرت رئيسة الوزراء Sanae Takaichi على X يصفها بأنها "طلب عاجل للجميع للرد الليلة," وقالت إن تعليق الموقع مؤقتاً يمكن أن يكون طريقة فعالة لتقليل المخاطر إذا لم يكن الإصلاح الفوري ممكناً، حسبما أفادت BigGo Finance.
بعد هذا التوجيه، دخلت عدة خدمات إنترنت يابانية الصيانة الطارئة في ليلة 21 أكتوبر، بما في ذلك منصة إدارة دور الحضانة CoDMON ولعبة البطاقات Shadowverse: Worlds Beyond وبناء متاجر الإنترنت BASE وموفر الاستضافة Sakura Internet، حسب تقرير BigGo Finance. تم إطلاق التصحيحات الرسمية لـ PHP حول الساعة 10:40 مساءً بتوقيت اليابان، قبل هدف أولي معلن في الساعة 11 مساءً، قال التقرير نفسه.
بشكل منفصل، أفادت Internet Watch (Impress) بأن موفر الاتصالات الياباني Baltec علق حوالي 23 خدمة—تغطي السحابة والحجز ونقاط البيع وأدوات إدارة النفقات—بعد اكتشاف وصول غير مصرح به مع احتمال كشف البيانات الشخصية. نسبت Baltec في البداية الحادث إلى هجوم سيبراني يستهدف ثغرة في PHP، لكن الشركة أصدرت تصحيحاً في نفس اليوم تفيد بأن السبب الفعلي كان ثغرة في خدمتها الخاصة، وليس خلل PHP، بعد أن قالت إنها خلطت بين المسألتين أثناء مراجعة تدابيرها الأمنية المتعلقة بـ PHP. استهدفت Baltec استعادة الخدمة بحلول 26 أكتوبر، أفادت Internet Watch.
نطاق التعريض
يعمل PHP على ما يقدر بـ 70٪ من المواقع في جميع أنحاء العالم، بما في ذلك مواقع WordPress و Wikipedia و Microsoft.com و Archive.org، حسب Fortune، نقلاً عن أن حوالي 40٪ من جميع المواقع تعمل على WordPress، والتي بنفسها تعتمد على PHP. استشهدت Fortune أيضاً بفحص أولي حدد 22.6 مليون instance PHP قابل للضعف المحتمل المكشوف على الإنترنت.
| البند | التفاصيل |
|---|---|
| معرفات CVE | CVE-2026-109618 و CVE-2026-109619 |
| الخطورة | موصوفة بأنها حرجة في جميع المصادر المراجعة؛ لم يتم العثور على درجة CVSS رقمية رسمية في تلك المصادر |
| نوع الثغرة | Use-after-free / تلف الذاكرة (CWE-416) |
| الإصدارات المصححة | PHP 8.5.12 و 8.4.27 و 8.3.36 و 8.2.35 (عمليات نقل لـ 7.4–8.1) |
| تاريخ الكشف/التصحيح | 21 أكتوبر 2026 |
| محاولات الاستغلال الأولى المبلغ عنها | 17 أكتوبر 2026 (لكل Amazon Threat Intelligence، كما ذكرت Bleeping Computer) |
| حصة الويب التي تعمل PHP | ~70٪، لكل Fortune |
ما هو لا يزال مجهولاً
حتى الآن، من بين التقارير المتاحة، لا يؤكد أي مصدر حدوث خرق ناجح على نطاق واسع يُعزى مباشرة إلى استغلال PHP2Shell، بعكس الإغلاقات الاحترازية. تختلف الأرقام حول محاولات الاستغلال الإجمالية حسب المصدر ونافذة القياس: تم الاستشهاد برئيس Cloudflare في التغطية اليابانية عبر Yahoo! News وصف أرقام المحاولات ترتفع من آلاف قبل الكشف إلى عشرات الآلاف في 45 دقيقة وتصل إلى مئات الآلاف في ساعتين، مع وصول الإجماليات إلى الملايين بحلول وقت هذا التقرير؛ لم تكرر منشور Cloudflare الخاص بها هذه الأرقام المحددة. يجب على القراء التعامل مع الأرقام الدقيقة لحجم الهجوم على أنها أولية وتخضع للمراجعة من قبل المنظمات التي تتتبعها.
أسئلة
- ما هو PHP2Shell؟
- إنه الاسم الموضوع لنقطتي ضعف حرجتين في PHP، CVE-2026-109618 و CVE-2026-109619، كلاهما موصوف بأنه حرج في الخطورة، يمكن أن يسمح للمهاجم بتشغيل التعليمات البرمجية على خادم ويب دون تسجيل الدخول، وفقاً لـ Help Net Security ومركز الأمن السيبراني الكندي.
- ما هي إصدارات PHP المتأثرة والمصححة؟
- الأعطال الأساسية موجودة في رمز PHP يعود لأكثر من عقد، لكن الإصلاحات الرسمية تم إطلاقها للإصدارات 8.5.12 و 8.4.27 و 8.3.36 و 8.2.35 في 21 أكتوبر 2026، مع عمليات نقل على مستوى المصدر للفروع 7.4–8.1 التي انتهى دعمها، وفقاً لـ Bleeping Computer والمشورة الحكومية الكندية.
- هل موقعي في خطر إذا كان يستخدم WordPress أو منصة أخرى قائمة على PHP؟
- أي خادم يعمل PHP للتعامل مع طلبات الويب—بما في ذلك الإعدادات خلف WordPress—يمكن أن يتأثر إلا إذا تم تحديثه إلى إصدار PHP مصحح؛ تعتبر تكوينات mod_php ذات مخاطر أعلى، وفقاً لمركز الأمن السيبراني الكندي.
- لماذا أغلقت بعض الشركات والخدمات اليابانية مؤقتاً؟
- قال المكتب الوطني الياباني للأمن السيبراني ورئيسة الوزراء Sanae Takaichi كلاهما إن إيقاف الموقع مؤقتاً كان طريقة فعالة لتقليل المخاطر إذا لم يكن الإصلاح متاحاً فوراً، مما دفع خدمات مثل CoDMON و Shadowverse: Worlds Beyond و BASE و Sakura Internet إلى إيقاف العمليات، حسب BigGo Finance.
- هل يتم استغلال الثغرة بالفعل؟
- تختلف التقارير حسب التوقيت: قالت فريق Amazon Threat Intelligence إنها اكتشفت محاولات استغلال بدءاً من 17 أكتوبر 2026، أربعة أيام قبل الكشف العام، بينما ذكرت المشورة الرسمية الكندية عدم تأكيد أي استغلال نشط في الوقت الذي تمت كتابته، مع ملاحظة أن ذلك قد يتغير بسرعة.
كيف يرويها العالم
- اليابانيةركزت المنافذ اليابانية بشكل كبير على الرد الحكومي المحلي، وأفادت بأن رئيسة الوزراء Sanae Takaichi والمكتب الوطني للأمن السيبراني دعيا الشركات علناً للإصلاح فوراً أو تعليق المواقع، وتتبعت أي خدمات يابانية معروفة للمستهلكين وموفر اتصالات (Baltec) أوقفت الأنظمة؛ وأصدرت إحدى المنافذ أيضاً تصحيحاً في نفس اليوم بعد أن نسبت Baltec في البداية خرقاً غير ذي صلة بالعيب في PHP.
المصادر
- Internet Watch (Impress) — Baltec service suspension and correction on PHP vulnerability claim
- Yahoo! News Japan pickup — Cloudflare attempt figures and security poll
- Help Net Security — PHP2Shell: Critical PHP vulnerabilities patched, update now!
- BleepingComputer — PHP ships emergency patches for critical PHP2Shell flaws
- Cloudflare Blog — Cloudflare deploys protections against php2shell vulnerability
- ppc.land — Cloudflare blocks php2shell exploits 9 hours before PHP flaws went public
- Fortune — AI helped discover the PHP vulnerability that could take down 70% of the internet
- Canadian Centre for Cyber Security — AL26-026: Critical vulnerabilities impacting PHP
- BigGo Finance — Critical PHP Vulnerability: PM Takaichi Urges Prompt Patch Application, Site Shutdown Also an Option
أُعدّت هذه المادة بالذكاء الاصطناعي وخضعت لتدقيق آلي للمصادر قبل النشر. إن رأيت خطأً فاطلب تصحيحه. طلب تصحيح أو حق الرد · كيف نعمل
مواد ذات صلة
التكنولوجيامقال
هاتف iPhone Duo القابل للطي من Apple: المواصفات والسعر وموازنته مع Samsung
طرحت Apple هاتفها الذكي القابل للطي الأول من نوعه iPhone Duo للبيع في 23 أكتوبر 2026، بسعر يبدأ من 1999 دولار، بعد أن أدى الطلب المرتفع على الطلبات المسبقة إلى تأخر تقديرات الشحن إلى 2027 خلال دقائق. يجمع الجهاز ذو التصميم على شكل كتاب بين مفصل من التيتانيوم ومقاومة IP68 للماء - وهي الأولى من نوعها لهذا النمط من الهواتف القابلة للطي - مع لوحة عرض مخصصة من Samsung Display، مما يعزز المنافسة مع سلسلة Galaxy Z Fold الحالية من Samsung.
التكنولوجياخبر
البنوك الأمريكية تقول إن وكلاء الذكاء الاصطناعي غير المُصرّح بها يسجلون الدخول إلى حسابات العملاء
تقول البنوك الأمريكية الكبرى، بما في ذلك JPMorgan Chase و Bank of America و Charles Schwab، إنها تكتشف وكلاء ذكاء اصطناعي من جهات خارجية يدخلون إلى حسابات العملاء باستخدام بيانات الدخول التي سلمها المستخدمون بأنفسهم، حسب تقرير نشرته Axios في 22 أكتوبر 2026. تقول البنوك إن بعض الوكلاء قد اتخذوا إجراءات، مثل تحويل الأموال، يبدو أنها منفصلة عن تعليمات محددة من المستخدم، وتقوم البنوك الآن بحجب أو تقييد هذه الممارسة.
التكنولوجيامقال
جنسن هوانج من Nvidia يرفع المخاوف من فائض رقائق الذاكرة في 2029
قال الرئيس التنفيذي لشركة Nvidia جنسن هوانج لقناة CNBC في 22 أكتوبر 2026، إنه لا يرى أي علامات لفائض في رقائق الذاكرة بحلول 2029، منفياً نظرية ساهمت في إطلاق حملة بيع حادة في أسهم Samsung و SK Hynix و Micron. وتحدثاً في مؤتمر Nvidia GTC في برلين، قال هوانج إن الطلب على الذاكرة عالية النطاق الترددي (HBM) سيستمر في الارتفاع وأن توفر ذاكرة أكثر مفيد بدلاً من أن يكون محفوفاً بالمخاطر.
التكنولوجيامقال
لماذا تنفق شركات التكنولوجيا الكبرى 730 مليار دولار على بنية الذكاء الاصطناعي في 2026
تخطط Amazon و Alphabet و Microsoft و Meta لإنفاق ما يقرب من 730 مليار دولار مجتمعة على مراكز البيانات والرقائق المخصصة للذكاء الاصطناعي في 2026، بارتفاع بنسبة 78% تقريباً عن عام 2025. دفعت هذه الموجة التدفق النقدي الحر في Meta إلى المنطقة السالبة للمرة الأولى منذ اكتتابها العام في 2012، وأثارت انخفاضاً حاداً في أسهم التكنولوجيا حيث يتساءل المستثمرون عما إذا كان الإنفاق سيؤتي ثماره وفي أي وقت.