الأمن التقني

ثغرة BlockStrap الحرجة تتيح تنفيذ PHP على خوادم Magento

حذرت شركة Sansec لأمن التجارة الإلكترونية من ثغرة قصوى الخطورة في Magento وAdobe Commerce قد تسمح للمهاجمين بتنفيذ كود PHP يختارونه على خوادم المتاجر. ولم ترصد الشركة هجمات تستغلها حتى الآن، لكنها تتوقع ظهور استغلال واسع قريباً.

رضوان عبدالهاديمحرر وكاتب تقني

نُشر: 16 أكتوبر 2026 · آخر تحديث: 16 أكتوبر 2026 · 4 دقائق قراءة

ثغرة BlockStrap الحرجة تتيح تنفيذ PHP على خوادم Magento — الصورة: BleepingComputer

ثغرة قصوى الخطورة في منصات المتاجر

أفادت BleepingComputer بأن باحثين يحذرون من ثغرة أمنية بالغة الخطورة تحمل المعرف CVE-2026-103849، وتؤثر في منصتي Magento وAdobe Commerce. وقد تتيح الثغرة للمهاجم تنفيذ كود PHP عشوائي على خادم المتجر، ما يمنحه قدرة محتملة على تشغيل أوامر يحددها بنفسه داخل البيئة المستضافة. ويمكن الرجوع إلى BleepingComputer للاطلاع على التفاصيل الأصلية للمصدر.

أطلقت Sansec على الثغرة اسم BlockStrap، وقالت إن هجمات تستغلها لم تُرصد بعد. ومع ذلك، ترى الشركة أن الجهات المهاجمة ستتمكن على الأرجح من تطوير أسلوب عملي لاستغلالها، خصوصاً بعدما حدد باحثوها أربعة مسارات محتملة للهجوم خلال أقل من 24 ساعة من تحليل الخلل.

الإصدارات المتأثرة وتقييم أدوبي

يمس الخلل إصدارات سبتمبر من Adobe Commerce وMagento Open Source حتى الإصدار 2.4.9، إضافة إلى Adobe Commerce B2B حتى الإصدار 1.5.3. وتقول Sansec إن تصنيف أدوبي للثغرة ضمن أولوية 2، أي تصحيحها خلال 30 يوماً، لا يعكس مستوى الخطر أو الحاجة العملية إلى الإسراع في المعالجة.

ويصف نشرة Adobe الأمنية، المنشورة في 13 أكتوبر، المشكلة بأنها فشل في تحييد عناصر خاصة مستخدمة داخل محرك قوالب، وهو ما يقود إلى تنفيذ كود عشوائي. ويشير هذا الوصف إلى أن الخلل لا يقتصر على كشف معلومات أو تعطيل الخدمة، بل يمكن أن يصل إلى تشغيل تعليمات برمجية على الخادم عند نجاح سلسلة الهجوم.

وتوضح Sansec أن مسار الهجوم أكثر تعقيداً من بعض الثغرات المعتادة، لكنها ترى أن أدوات الذكاء الاصطناعي قد تساعد في تحليل التصحيح وتحويله إلى استغلال عامل خلال وقت قصير نسبياً. لذلك تعترض الشركة على منح الثغرة مهلة معالجة أطول، وتقارنها بثغرة StyleSmuggler التي انتقلت من إصلاح عاجل ذي أولوية أولى إلى استغلال واسع خلال ثلاثة أيام.

كيف تعمل آلية BlockStrap

بحسب تحليل Sansec، تستغل BlockStrap حقن توجيه في مرحلة ثانية من معالجة القوالب. ويمكن للمحتوى الذي يتحكم فيه المهاجم داخل قالب بريد إلكتروني فرعي أن يُوقّع ثم يُعاد تمريره للمعالجة على مستوى القالب الجذر، حيث ينفَّذ توجيه {{block}} جرى تهريبه داخل المحتوى.

وترى الشركة أن هذا السلوك يكشف فجوة تركها إصلاح StyleSmuggler داخل محرك قوالب البريد الإلكتروني نفسه. أما إصلاح أدوبي الجديد، فيستبدل المعالجة العامة باستخدام عناصر نائبة مسجلة، وهو ما يمنع المسار الذي يسمح بإعادة تفسير المحتوى المهاجم وتنفيذ التوجيه المحقون.

ولا تعني هذه الآلية أن كل متجر معرض للاستغلال بالطريقة نفسها أو أن هجمات ناجحة جارية بالفعل؛ فالباحثون يتحدثون عن مسارات محتملة وعن خطر متوقع. لكن الوصول إلى تنفيذ كود PHP يجعل نجاح الهجوم، في حال تحقق شروطه، ذا أثر مباشر على خادم المتجر والبيانات والخدمات التي يديرها.

التحديث المطلوب لا يلغي الإصلاح السابق

تقول Sansec إن تثبيت حزمة Composer عادية وحده لا يكفي لمعالجة الخطر، وتطلب من مسؤولي المواقع تطبيق إصدار 2026-oct أو التصحيح المعزول الذي توفره Adobe. ويعني ذلك أن على الفرق التحقق من طريقة نشر التصحيح ومن وصول الإصلاح فعلياً إلى نسخة Commerce أو Magento التي تشغّل المتجر.

وتشدد الشركة على أن إصلاحي BlockStrap وStyleSmuggler منفصلان، ولذلك يجب تثبيت معالجة BlockStrap مع الإبقاء على الإصلاح العاجل السابق VULN-39341 الخاص بثغرة StyleSmuggler. إزالة التصحيح السابق أو استبداله بطريقة غير مكتملة قد تترك المسار الأقدم مكشوفاً حتى بعد معالجة الخلل الجديد.

كما ينبغي لمسؤولي المتاجر مراجعة الإصدارات المنشورة في بيئات الإنتاج، ومقارنة التصحيحات المطبقة بالنشرات الرسمية، قبل اعتبار الخطر منتهياً. لا تقدم المعلومات المتاحة دليلاً على اختراقات ناجحة عبر BlockStrap، لذلك تتركز التوصية الحالية على التحديث الوقائي والتحقق من بقاء الإصلاحات ذات الصلة فعالة.

توقعات باستغلال قريب

تربط Sansec تقديرها بوجود احتمال لاستغلال قريب بتعقيد مشابه لما حدث مع StyleSmuggler، لا برصد موجة هجمات قائمة. وقد قالت الشركة إنها ستصدر تحديثاً عندما تكتشف هجمات واسعة النطاق، بينما يتوقع باحثوها أن تحاول الجهات المهاجمة إيجاد طريقة لاستثمار الثغرة في وقت قريب.

وتأتي هذه التحذيرات في سياق متكرر من الثغرات التي تستهدف منصات إدارة المتاجر ومحركات القوالب، حيث يمكن لتحسين صغير في سلسلة المعالجة أن يغير أثر الخلل من مشكلة إدخال إلى تنفيذ تعليمات على الخادم. وبالنسبة إلى مشغلي Magento وAdobe Commerce، تظل الخطوة العملية الأهم هي تطبيق إصدار أكتوبر أو التصحيح المعزول، مع عدم التخلي عن إصلاح StyleSmuggler السابق.