الأمن التقني

CISA تؤكد استغلال ثغرات PHP2Shell في هجمات نشطة

تأكيد رسمي من CISA بأن ثغرتي PHP2Shell الحرجتين أصبحتا هدفاً لهجمات نشطة، مع أوامر عاجلة لتأمين الأنظمة الفيدرالية.

رضوان عبدالهاديمحرر وكاتب تقني

نُشر: 27 أكتوبر 2026 · آخر تحديث: 27 أكتوبر 2026 · 5 دقائق قراءة

CISA تؤكد استغلال ثغرات PHP2Shell في هجمات نشطة — الصورة: BleepingComputer

الخلاصة

أضافت CISA ثغرتي CVE-2026-109618 وCVE-2026-109619 إلى كتالوج الثغرات المستغلة النشط (KEV).
أصدر فريق أمان PHP تحديثات طارئة في 21 أكتوبر بعد تسرب تفاصيل الاستغلال ونشر برمجيات إثبات المفهوم.
كشفت شركات أمنية مثل Amazon وCloudflare عن محاولات استغلال واسعة قبل الإعلان الرسمي، لكن معظمها فشل.
أمرت CISA الوكالات المدنية الفيدرالية بتطبيق الإصلاحات بحلول يوم الخميس وفقاً للتوجيه التشغيلي الملزم 26-04.
تشير التقديرات إلى أن PHP يشغّل حوالي 70% من المواقع، مما يوسع نطاق التأثير المحتمل لهذه الثغرات.

تأكيد رسمي لاستغلال الثغرات

أعلنت وكالة الأمن السيبراني والبنية التحتية الأمريكية (CISA) رسمياً عن إضافة ثغرتين حرجتين في لغة PHP، تُعرفان مجتمعين باسم PHP2Shell، إلى كتالوجها للثغرات الأمنية المستغلة بنشاط. هذا التصنيف يعني أن هذه الثغرات لم تعد مجرد نقاط ضعف نظرية، بل أصبحت أدوات هجومية حقيقية يستخدمها المتسللون في العالم الحقيقي. وتشمل الثغرتان المعرفتان برقمي CVE-2026-109618 وCVE-2026-109619، والتي تتيحان للمهاجمين تنفيذ أوامر عن بُعد (RCE) على الأنظمة غير المحدثة.

تتطلب هذه الثغرات هجمات ذات تعقيد عالٍ، لكنها تمنح المهاجمين صلاحيات كاملة على الخوادم المتأثرة. وقد أكدت الوكالة أن هذه الأنواع من الثغرات تمثل متجه هجمات شائعاً للفاعلين الخبيثين، وتُشكّل خطراً كبيراً على البنية التحتية الفيدرالية. ولم تشارك CISA تفاصيل إضافية عن طبيعة الهجمات الجارية حتى الآن، لكنها شددت على ضرورة التصدي الفوري لها.

تسريب التفاصيل ونشر أدوات الاستغلال

قبل إصدار التحديثات الرسمية، شهدت الساحة الأمنية تسريباً لمعلومات حساسة حول ثغرات PHP2Shell، بما في ذلك المعرفات التقنية وإجراءات التخفيف التي تم مشاركتها مع مزودي البنية التحتية الحرجة. وقد أدى هذا التسريب إلى نشر برمجيات إثبات المفهوم (PoC) على الإنترنت قبل أن تصبح التحديثات متاحة للعامة. ورغم ذلك، صرّح فريق أمان PHP بأن الأدوات التي تم نشرها لم تكن فعالة في استغلال الثغرات بشكل كامل.

يأتي هذا التسريب في سياق محاولة لزعزعة استقرار عملية الإفصاح المسؤول عن الثغرات. وقد حذر فريق الأمان من أن وجود أدوات استغلال غير مكتملة قد يخلق حالة من الفوضى، لكنه أكد أن التحديثات التي صدرت لاحقاً هي الحل الوحيد الموثوق. وتُظهر هذه الحادثة أهمية التنسيق السريع بين فرق الأمان والمجتمع التقني لمنع استغلال الثغرات قبل إصلاحها.

استجابة عاجلة من فريق أمان PHP

استجابةً للوضع المتسارع، أصدر فريق أمان PHP تحديثات طارئة لإصلاح الثغرتين الحرجتين في يوم الأربعاء 21 أكتوبر. جاء هذا الإجراء بعد يوم واحد فقط من إصدار تحذير عاجل يدعو فرق الأمان إلى تثبيت التحديثات فور توفرها. ويُظهر هذا التوقيت السريع التزام الفريق بتقليل نافذة الاستغلال إلى الحد الأدنى، خاصة بعد تأكيد التسريب ونشر أدوات الاختبار.

كما شارك الفريق تفاصيل حول ثغرة تنفيذ أوامر عن بُعد جديدة (CVE-2026-115560) في يوم الجمعة، مع تقديم إجراءات تخفيف مؤقتة في انتظار إصدار التحديث الكامل. وتُستغل هذه الثغرة الجديدة فقط عند استهداف أنظمة تتميز بمزيج غير معتاد من إعدادات التكوين ورمز التطبيق، مما يحد من نطاق تأثرها مقارنة بثغرات PHP2Shell الرئيسية.

رصد محاولات استغلال واسعة النطاق

رصدت عدة شركات أمنية كبرى، بما في ذلك Cloudflare وAmazon وHadrian وwatchTowr وPrevidian وPatchstack، محاولات استغلال واسعة النطاق لثغرات PHP2Shell قبل الإعلان العام عنها. ومع ذلك، صنفت جميع هذه الشركات تلك المحاولات كفشل في تحقيق اختراق ناجح، مما يشير إلى أن المهاجمين كانوا يجرّبون أدواتهم أو يبحثون عن أنظمة ضعيفة التهيئة.

وفي تطور لافت، أفاد باحثو الأمن في Amazon Threat Intelligence بأن المهاجمين بدأوا في استهداف ثغرات PHP2Shell قبل أربعة أيام من إصدار التحديثات الأمنية. هذا التوقيت المبكر يدل على أن معلومات الاستغلال كانت متداولة في الدوائر الخبيثة قبل وقت كافٍ من الإفصاح الرسمي، مما يبرز أهمية المراقبة المستمرة للشبكات.

أوامر فيدرالية صارمة للإصلاح

أضافت CISA الثغرات إلى كتالوج الثغرات المعروفة بالاستغلال (KEV) في يوم الاثنين، وأصدرت أمراً ملزماً للوكالات المدنية التنفيذية الفيدرالية (FCEB) بتأمين أنظمتها بحلول يوم الخميس. يأتي هذا الإجراء استناداً إلى التوجيه التشغيلي الملزم 26-04، الذي يفرض على الوكالات الفيدرالية معالجة الثغرات المستغلة بنشاط في إطار زمني محدد بدقة.

ووفقاً للتوجيه، يجب على الوكالات الفيدرالية اتخاذ إجراءات فورية لتقليل سطح الهجوم. وعلى الرغم من أن التوجيه ينطبق حصرياً على الوكالات الفيدرالية، إلا أن CISA شجعت جميع المؤسسات الأخرى على اعتماد إدارة مخاطر قائمة على تقييم المخاطر، وأعطت الأولوية لمعالجة الثغرات المدرجة في كتالوج KEV. هذا النهج يهدف إلى رفع مستوى الدفاعات عبر القطاع العام والخاص.

أدلة على استغلال حقيقي في العالم الحقيقي

قبل تأكيد CISA الرسمي، كان Adel Karimi، قائد الكشف والاستجابة في Perplexity، أول من أكد استغلال الثغرات في العالم الحقيقي. وسجّلت أنظمة العسل (Honeypots) الخاصة به أدلة على تنفيذ أوامر عن بُعد ناجح ضد تثبيت Apache mod_php الذي يعمل بإصدار PHP 8.4.26. هذا الاكتشاف يؤكد أن المهاجمين يمتلكون القدرة على تجاوز دفاعات الأنظمة غير المحدثة.

تُظهر هذه الحادثة أن الفجوة بين اكتشاف الثغرة وإصلاحها هي الفترة الأكثر خطورة. ومع انتشار PHP على نطاق واسع، فإن أي تأخير في التحديث قد يؤدي إلى اختراقات واسعة. ويُنصح جميع مشغلي الخوادم بمراجعة سجلات الوصول والتحقق من سلامة الأنظمة التي لم يتم تحديثها بعد.

نطاق التأثير وإحصائيات PHP

تُشغّل لغة PHP حوالي 70% من جميع المواقع على الإنترنت، وفقاً لتقديرات VirusTotal. وتُظهر البيانات أن هناك أكثر من 5.1 مليون مضيف PHP مكشوف على الإنترنت، ومن بينها حوالي 3.8 مليون حالة لديها منفذ واحد على الأقل مفتوح للهجمات. هذا الحجم الهائل من الأنظمة يجعل ثغرات PHP2Shell تهديداً عالمياً وليس محلياً.

كما تشير التقارير إلى أن نقاط الضعف في أنظمة الحماية قد تتفاقم بعد الوصول الأولي. فعندما يستخدم المهاجمون بيانات اعتماد صالحة، تنخفض معدلات الحظر بشكل حاد. وهذا يؤكد أهمية تطبيق التحديثات الأمنية كخط دفاع أول، بدلاً من الاعتماد فقط على أنظمة كشف التسلل أو جدران الحماية.