الأمن التقني

أمازون: استغلال ثغرات PHP2Shell بدأ قبل 4 أيام من التصحيح

أعلنت أمازون أن محاولات استغلال ثغرات PHP2Shell الحرجة بدأت قبل أربعة أيام من إصدار التصحيحات الرسمية، ما يسلط الضوء على تسريب معلومات حساسة وتخطيط مسبق من قبل المهاجمين.

رضوان عبدالهاديمحرر وكاتب تقني

نُشر: 23 أكتوبر 2026 · آخر تحديث: 23 أكتوبر 2026 · 4 دقائق قراءة

أمازون: استغلال ثغرات PHP2Shell بدأ قبل 4 أيام من التصحيح — الصورة: BleepingComputer

تسريب معلومات قبل الإعلان الرسمي

أفاد باحثو الأمن في Amazon Threat Intelligence بأن المهاجمين بدأوا استهداف ثغرات PHP2Shell قبل أربعة أيام من إصدار التصحيحات الأمنية. وتتضمن الثغرتان، المعروفتان بـ CVE-2026-109618 و CVE-2026-109619، ثغرات تنفيذ عن بُعد (RCE) حرجة تتيح للمهاجمين التحكم في الأنظمة المتأثرة. أصدر فريق أمني PHP التصحيحات في 21 أكتوبر، بعد يوم من تحذير المديرين بالتحضير لتثبيت التحديثات فور توفرها، وفقاً لما نشرته BleepingComputer.

أوضح فريق PHP أن الأمور سارت وفق الخطة حتى يومين قبل الإعلان المنسق، عندما تسربت بعض التفاصيل حول الثغرات، بما في ذلك أرقام CVE ونصائح التخفيف المقدمة لبعض مزودي البنية التحتية الحرجة، مما أدى إلى تسريع تاريخ الإصدار المستهدف. وأكد الفريق أن نماذج الدليل (PoC) المنشورة قبل التصحيح لم تكن فعالة.

تحليل محاولات الاستغلال

وفقاً لتقرير أمازون، بدأت أولى محاولات الاستغلال في 17 أكتوبر (السبت)، أي قبل أربعة أيام من إصدار التصحيحات. وبعد ساعات من الإعلان، نشر المهاجمون عدة استغلالات PHP2Shell من عناوين IP مرتبطة بشبكات تجارية لتعميم الهوية. وأوضح CJ Moses، كبير مسؤولي الأمن المعلوماتي في AWS، أن هذه النشاطات تشير إلى وجود فاعل تهديد، رغم عدم وضوح كيفية حصوله على معلومات الاستغلال قبل الإعلان.

أضاف Moses أن الاختلافات في الأحمال والبنية التحتية لتعميم الهوية تشير إلى مشاركة عدة فاعلين. ولا يزال من غير الواضح ما إذا كانت أي من هذه المحاولات كانت ستنجح في أنظمة العالم الحقيقي، لكن الثغرات أصبحت الآن مستغلة على نطاق واسع في البرية.

رصد محاولات فاشلة من عدة جهات

جاء تقرير أمازون بعد رصد عدة شركات أمني، بما في ذلك Cloudflare و watchTowr و Previdian و Hadrian و Patchstack، محاولات استغلال فاشلة قبل الإعلان العام. وأوضح Matthew Prince، الرئيس التنفيذي لـ Cloudflare، أن الشبكة رصدت آلاف المحاولات في الساعات العشر قبل الإعلان، وارتفعت إلى ملايين خلال الساعات التالية.

من جانبه، قال Jake Knott، رئيس استخبارات التهديدات في watchTowr، إن الاستغلالات المنتشرة إما لا تعمل أو تختبر الفروق الزمنية أو تسبب انهيار الهدف، مما يؤكد عدم فعاليتها في تحقيق تنفيذ عن بُعد.

حجم التعرض العالمي

تعمل لغة PHP على ما يصل إلى 80% من مواقع الويب، بما في ذلك تلك التي تستخدم أنظمة إدارة المحتوى مثل WordPress و Drupal و Joomla. تتتبع VirusTotal أكثر من 5.1 مليون مضيف PHP مكشوف على الإنترنت، نحو 3.8 مليون منها لديها منفذ واحد على الأقل مفتوح للهجمات. كما رصدت Censys أن نحو 1.57 مليون مضيف من أصل 1.58 مليون لم يتم تصحيحها.

أشارت بيانات VulnCheck إلى أن أكثر من مليون خادم يعمل بإصدارات PHP منتهية الصلاحية (EoL)، منها أكثر من 700,000 تعمل بإصدارات 3.x إلى 7.3، ونحو 400,000 تعمل بإصدارات 7.4، 8.0، أو 8.1. معظم هذه المضيفين موجودة في الولايات المتحدة وتعمل على مزودين مثل AWS و DigitalOcean و Alibaba.

التوصيات الأمنية

دعت الوكالة الأمريكية للأمن السيبراني (CISA) المؤسسات إلى التحديث الفوري إلى إصدارات PHP 8.5.12، 8.4.27، 8.3.36، أو 8.2.35، التي تتضمن تصحيحات ثغرات PHP2Shell. كما حذر مركز الأمن السيبراني الوطني في المملكة المتحدة (NCSC) المؤسسات البريطانية من تحديث خوادم PHP فوراً أو إزالتها عن الشبكة حتى يتم تصحيحها.

نصح خبراء الأمن بتطبيق التحديثات الطارئة فوراً وبدء التحقيق عن علامات الاختراق. وأوضح Michael Jenkins، الشريك المؤسس لـ ThreatLocker، أن تقييد ما يمكن لعملية الويب إطلاقه أو الوصول إليه يمكن أن يقلل خيارات المهاجم، لكنه ليس بديلاً عن التصحيح.