PHP2Shell: نقطتا ضعف حرجتان في PHP تسبب إغلاقات مواقع عالمية

PHP، لغة البرمجة النصية التي تدير جزءاً كبيراً من أكواد جانب الخادم في الويب، تعرضت لنقطتي ضعف أمان حرجتين تم الكشف عنهما في أكتوبر 2026. وتُعرف باسم "PHP2Shell" بشكل جماعي وتتبع باسم CVE-2026-109618 و CVE-2026-109619، وتسمح هذه الأخطاء لمهاجم بدون حساب أو كلمة مرور بتنفيذ أكواد عشوائية على خادم ويب متأثر.

ما الذي تفعله نقاط الضعف هذه

وفقاً لشركة الأمان watchTowr، يحدث CVE-2026-109618 عندما ينفد الذاكرة في PHP في منتصف إعداد طلب وارد، تاركاً بيانات الطلب الداخلية غير مهيأة بشكل كامل؛ ثم تعامل روتين التنظيف الخاص بـ PHP هذه البيانات غير الصحيحة على أنها صحيحة بالخطأ. ويتضمن CVE-2026-109619 الحالة الداخلية المرتبطة بطلب واحد البقاء بعد أن تم تحرير الذاكرة التي تشير إليها، لذا يمكن لطلب لاحق يتم معالجته بواسطة نفس عملية العامل استخدام تلك الحالة القديمة قبل أن تعيد التهيئة العادية تعيينها.

قالت شركة أبحاث Wiz، التي فحصت الأخطاء، لـ Help Net Security أن هذه المشاكل ظلت دون ملاحظة لسنوات وتصنف من بين الأكثر حدة التي تم العثور عليها في اللغة. بخلاف تنفيذ الأكواد البعيد الكامل، قالت watchTowr أن الأخطاء يمكن أن تحطم عمليات عمل PHP، أو تسمح بقراءة الملفات العشوائية، أو تسرب ذاكرة الخادم.

من وجدها، ومتى

تم الإبلاغ عن النقطتين من خلال جهود بحثية منفصلة. ينسب إشعار watchTowr الاكتشاف إلى فريق البحث الأمني لدى Calif، بينما ينسب تغطية Help Net Security التعريف والكشف إلى الباحثين في Wiz. كان الجدول الزمني للكشف غير عادي: تم تسريب التفاصيل المقصود أن تبقى تحت الحظر علناً في 20 أكتوبر 2026، وأكدت watchTowr أن المعلومات المسربة كانت حقيقية. رد مشرفو PHP بإصدار تصحيحات قبل يوم واحد من موعد 22 أكتوبر المخطط له، الساعة 14:00 UTC في 21 أكتوبر 2026.

النطاق: من يقوم بتشغيل PHP المعرضة

تبقى PHP واحدة من أكثر لغات جانب الخادم استخداماً على الويب، ويمكن للأخطاء أن تؤثر على أي إعداد يعالج طلبات HTTP الواردة من خلالها. تشمل الإعدادات المتأثرة PHP-FPM و Apache مع mod_php و php-cgi و FrankenPHP و LiteSpeed، وفقاً لـ watchTowr، مما يعني أن الخطأ يقع في طبقة الخادم نفسها وليس في أي تطبيق واحد.

نظراً لأن PHP 7.4 و 8.0 و 8.1 لم تعد مدعومة رسمياً، تقول watchTowr أنه لا توجد رقعة من مشروع PHP الأساسي للمواقع التي لا تزال تعمل على تلك الفروع، على الرغم من أن توزيعات Linux أو بدعم طويل الأجل من قبل البائعين قد تتوفر كخيار مؤقت؛ وإلا فإن هذه التثبيتات تحتاج إلى الانتقال إلى فرع مدعوم. PHP 7.3 وأقدم ليس لديهم إصلاح على الإطلاق، وفقاً لـ watchTowr. تنص استشارة PHP على أنه لا توجد تغيير في التكوين يغلق بشكل كامل نقاط الضعف بخلاف تحديث البرنامج.

التأثير والاستغلال

أفادت Help Net Security أن شبكة honeypot تديرها Amazon اكتشفت محاولات استغلال في 17 أكتوبر 2026 - أربعة أيام قبل الرقعة العامة - مما يشير إلى أن بعض المهاجمين كانوا لديهم وصول مبكر إلى تفاصيل الاستغلال. قالت watchTowr أن شبكة honeypot "Attacker Eye" الخاصة بها لاحظت الاستغلال النشط في البرية تستمر بعد إصدار الرقعة في 21 أكتوبر. أنظمة إدارة المحتوى المدمجة في PHP، بما في ذلك WordPress و Drupal و Joomla، جنباً إلى جنب مع تطبيقات قائمة على Laravel ومنصات التجارة الإلكترونية، جميعها ضمن الأثر المتأثر لأنها تعمل على محرك PHP المعرض.

مع إجراء التصحيح، تم إغلاق الوكالات الحكومية والمنتديات على الإنترنت ومنصات الألعاب وبعض المواقع المرتبطة بالبنية التحتية كإجراء احترازي أثناء قيام المشغلين بتطبيق الإصلاحات، وفقاً للتغطية الموجزة في إدخال PHP2Shell في ويكيبيديا. حثت المركز الوطني للأمن الإلكتروني في المملكة المتحدة المنظمات التي لم تستطع تصحيح الأخطاء على الفور على نقل الأنظمة المعرضة للخطر بدلاً من ذلك، وفقاً لما أفادت به Help Net Security.

تصنيف الخطورة وما الذي يجب على مشغلي المواقع القيام به

قيّم مطورو PHP الأخطاء بـ 9.2 من 10 على مقياس CVSS v4.0، وهي درجة "حرجة"، وفقاً لإشعار watchTowr. مسار الاستصلاح الواضح، وفقاً لاستشارة PHP و watchTowr، هو التحديث إلى PHP 8.5.12 أو 8.4.27 أو 8.3.36 أو 8.2.35 اعتماداً على الفرع التي يعمل عليها الخادم؛ يجب على المواقع التي تعمل على 7.4 أو 8.0 أو 8.1 استخدام رقعة توزيع أو الانتقال إلى فرع مدعوم، بينما الخوادم التي تعمل على 7.3 أو أقدم ليس لديها إصلاح متاح وتحتاج إلى ترقية.