PHP2Shell: الثغرتان الحرجتان في PHP اللتان أجبرتا الحكومات على إيقاف مواقعها

PHP2Shell هو لقب لثغرتين في لغة البرمجة PHP نفسها، وليس في أي موقع ويب أو تطبيق واحد. يتم تتبعهما باسم CVE-2026-109618 و CVE-2026-109619، وقيمت فريق الأمان الخاص بـ PHP كلتا الثغرتين بـ 9.2 من 10 على مقياس CVSS v4.0، وهو مستوى 'حرج'، وفقاً لصفحة الأرشيف الرسمية لمشروع PHP 2026.

ماذا تفعل الثغرتان بالفعل

وفقاً لتنبيه مشروع PHP الرسمي، يتم تشغيل CVE-2026-109618 عندما ينفد ذاكرة PHP أثناء معالجة طلب ويب. يمكن لخطأ نفاد الذاكرة أن يقطع PHP قبل أن يتم إعداد بيانات الطلب الداخلية بالكامل، وقد تعامل عملية التنظيف التي تتبعها تلك البيانات غير المكتملة على أنها صحيحة، مما قد يؤدي إلى تلف الذاكرة وتنفيذ الكود البعيد.

يوصف CVE-2026-109619 من قبل PHP بأنه خطأ 'الحالة العامة القديمة': البيانات المرتبطة بطلب زائر واحد يمكن أن تبقى في ذاكرة الخادم بعد أن كان يجب مسحها، وقد ينتهي طلب الزائر التالي الذي يتعامل معه نفس عملية العمل إلى التصرف بناءً على تلك البقايا. قالت شركة الأمان watchTowr، التي تدير شبكة مراقبة عالمية، إن كلا الخطأين يسمحان للمهاجم بتشغيل الكود دون الحاجة إلى تسجيل الدخول، قبل أن يبدأ كود الموقع الخاص به في التنفيذ.

أضافت شركة الأمان الهولندية Sansec مزيداً من التفاصيل التقنية، قائلة إن أحد المسارات نحو الاستغلال يمر عبر ميزة رفع 'تقدم الجلسة' في PHP ويمكن أن يكشف عن بيانات مثل كلمات المرور ومفاتيح API ومفاتيح التشفير التي كانت موجودة في ذاكرة الخادم من طلبات أخرى غير ذات صلة.

لماذا تم تعريض العديد من المواقع

تقع الثغرات داخل محرك PHP، لذلك أي موقع ويب أو تطبيق مبني باستخدام PHP يكون معرضاً للخطر، بغض النظر عن نظام المحتوى الذي يعمل فوقه. يتضمن ذلك منصات مستخدمة على نطاق واسع مثل WordPress و Drupal و Joomla و Magento و Nextcloud، وفقاً لـ Sansec. تبقى PHP واحدة من أكثر لغات البرمجة من جانب الخادم استخداماً على الويب، وهو أحد الأسباب التي جعلت الثغرات تعامل على أنها تشكل خطراً واسع النطاق وعلى نطاق كبير.

حدد باحثو الأمان في شركة Wiz الثغرات، وأفادت Help Net Security أن الباحثين قالوا إن التقدم في أدوات الذكاء الاصطناعي الحدودية قد خفضت بشكل كبير الحد التقني لتحويل مشكلة معالجة الذاكرة المعروفة منذ فترة طويلة والصعبة الاستغلال إلى استغلال عملي.

لماذا أوقفت الحكومات المواقع

تسربت التفاصيل التقنية للثغرات قبل أن يكون الإصلاح الرسمي من PHP جاهزاً، مما قلل من الميزة الأولية التي يحصل عليها المدافعون قبل أن يصبح الإصلاح عاماً. أفادت مدونة الأمان Safeguard أنه في 21 أكتوبر 2026، أوقفت هولندا خدمات بما فيها موقع مركز الأمن السيبراني الوطني الخاص بها، Overheid.nl، موقع مجلس النواب وعدة مواقع للمستشفيات والأحزاب السياسية كإجراء احترازي. أوقفت شركة تكنولوجيا الدولة الفنلندية Valtori خدمات شبكة الحكومة كخطوة احترازية، وأغلقت شركة تكنولوجيا المدن الدنماركية Kombit عدة خدمات بما فيها منصة اتصالات مدرسية وطنية. أوقفت وزارة الداخلية الفرنسية مؤقتاً مواقع المحافظات والمواقع الإدارية المحلية، قائلة إنها تنتظر تطبيق إصلاح PHP. أوقفت شركة تكنولوجيا الاتحاد الفيدرالي الألمانية ITZBund وزارة الخارجية البلجيكية أيضاً المواقع، لكن Safeguard أفادت أنها أعطت أسباباً مختلفة: قالت ITZBund إنها لم تعرف عن حوادث أمان، بينما استشهدت وزارة الخارجية البلجيكية بتقارير عن هجمات.

قالت watchTowr إن شبكة honeypot الخاصة بها، Attacker Eye، سجلت محاولات استغلال حقيقية تبدأ من 21 أكتوبر 2026، يوم واحد بعد التسرب وفي نفس اليوم الذي نشرت فيه PHP إصلاحها.

مقارنة الثغرتين

كيفية حماية موقعك وبياناتك

1. إذا كان لديك موقع ويب على PHP: قم بالترقية إلى نسخة مصححة — PHP 8.5.12 أو 8.4.27 أو 8.3.36 أو 8.2.35 — وأعد تشغيل جميع عمليات عمل PHP بعد ذلك، حيث يؤكد تنبيه PHP و runZero أن التحديث هو الإصلاح الكامل الوحيد.
2. إذا كنت لا تزال على PHP 7.4 أو 8.0 أو 8.1، التي لم تعد تتلقى تحديثات رسمية، فاحصل على تصحيح أمان مرتجع من توزيع Linux أو مزود الاستضافة الخاص بك، حيث توقف مشروع PHP الخاص نفسه عن صيانة تلك الفروع، وفقاً لصفحة الأرشيف PHP.
3. حتى تتمكن من التصحيح، يوصي runZero بخطوات وسيطة على مستوى الخادم أو الوكيل: حدد حدود الذاكرة بحيث لا يمكن للتطبيقات تجاوزها، وفرض حدود حجم الطلب والتحميل متعدد الأجزاء المنخفضة، وتعطيل ميزة 'تقدم الجلسة' في رفع البيانات.
4. تحقق من سجلات الوصول إلى خادم الويب للعثور على طلبات POST غير العادية من نوع multipart/form-data، والتي تقول Sansec أنها شائعة في محاولات الاستغلال المعروفة، وراقب قمم ذاكرة PHP غير المتوقعة أو الأخطاء المميتة.
5. كمستخدم إنترنت عادي، لا يمكنك تصحيح الخوادم التي لا تتحكم فيها، لكن يمكنك مراقبة إخطارات الانتهاك من الخدمات التي تستخدمها، واستخدام كلمة مرور فريدة لكل حساب، وتشغيل مصادقة ثنائية العامل بحيث لا تكون كلمة المرور المسربة وحدها كافية للوصول إلى حساباتك.

ما هو غير واضح حتى الآن

اعتباراً من التقارير المراجعة، كان هناك اختلاف بين الخبراء حول مدى انتشار الاستغلال النشط بالفعل في الوقت الذي قررت فيه عدة حكومات إيقاف المواقع؛ أفادت Safeguard أن الحكومة الهولندية قالت إنها لم تكن لديها علامات على استغلال نشط عندما تصرفت، بينما أكدت watchTowr بشكل منفصل محاولات هجوم حقيقية ضد honeypots الخاصة بها في اليوم التالي.