الأمن التقني

مشغلو شبكة ميراي يستهدفون ثغرات PHP2Shell رغم عدم تأكيد الاختراق

رغم تسارع هجمات الاستغلال، تؤكد التحليلات الأمنية أن محاولات نشر شبكة ميراي عبر ثغرات PHP2Shell لم تنجح بعد في اختراق أي أنظمة حقيقية.

رضوان عبدالهاديمحرر وكاتب تقني

نُشر: 23 أكتوبر 2026 · آخر تحديث: 23 أكتوبر 2026 · 5 دقائق قراءة

مشغلو شبكة ميراي يستهدفون ثغرات PHP2Shell رغم عدم تأكيد الاختراق — الصورة: SecurityWeek

محاولات استغلال فاشلة لشبكة ميراي

بعد يومين من إصدار PHP لإصلاحات طارئة لثغرات PHP2Shell، رصدت شركات أمنية محاولات من قبل جهات خبيثة لاستغلال هذه الثغرات لزرع برمجيات خبيثة. أوضحت شركة Sophos أن المهاجمين حاولوا استغلال الثغرات لتثبيت Potassium، وهو ما تعتقد الشركة أنه متغير من شبكة ميراي الخبيثة. ومع ذلك، تم إيقاف المحاولة التي حللتها الشركة، مما يعني أن البرمجية الخبيثة لم تصل إلى النظام المستهدف. وصفت Sophos العينة بأنها نسخة محدثة من سلالة ميراي تم رصدها في بداية عام 2026، وتتميز بوظائف إضافية تشمل تحميل برمجيات خبيثة إضافية وإطلاق هجمات حجب الخدمة الموزعة (DDoS).

أشار تحليل Sophos الأخير إلى أن المهاجمين يواجهون صعوبات كبيرة في التعامل مع هذه الثغرات. وصرحت الشركة بأن غياب الاستغلال الناجح في العالم الحقيقي يشير إلى أن الجهات الخبيثة تعاني أيضاً من صعوبة في تطوير استغلال فعّال، حتى مع استخدام أدوات الذكاء الاصطناعي. كما ربطت شركة Arctic Wolf بين ثنائيات Potassium والخوادم التي تستضيف حمولات PHP2Shell، لكنها أكدت أن بياناتها لا تظهر أن طلبات PHP2Shell تقوم بتحميل أو تشغيل البرمجية الخبيثة.

تجاوز حماية ASLR في بيئات الإنتاج

واجه الباحثون تحدياً كبيراً في تنفيذ شيفرة خبيثة بسبب تقنية عشوائية تخطيط مساحة العنوان (ASLR)، التي تعيد ترتيب مواقع الشيفرة والبيانات في الذاكرة. ومع ذلك، أعلنت شركة VulnCheck عن إيجاد طريقة لتجاوز هذه الحماية. يعتمد استغلالها لثغرة CVE-2026-109618 على تسرب ذاكرة للوصول إلى تنفيذ الشيفرة على أنظمة x86-64 التي تم تفعيل ASLR عليها وإيقاف عرض الأخطاء في PHP، وهو الإعداد الموصى به للأنظمة الإنتاجية.

أوضحت VulnCheck أن هذا الاستغلال متاح لعملاء خدمة Initial Access Intelligence الخاصة بها. وأضافت الشركة أنها غير على علم بأي استغلال عام أو تجاري آخر يحقق تنفيذ شيفرة عن بُعد (RCE) على إصدارات متعددة من PHP في إعدادات الإنتاج، متوقعة تغير ذلك مع تطور هجمات المهاجمين. كما لفتت الانتباه إلى أنه على الرغم من ظهور مئات مستودعات البراهم المفهومية (PoC) على GitHub، إلا أن القليل منها يحتوي على استغلال حقيقي وفعّال.

كشف أدوات مهاجمين على خوادم مكشوفة

اكتشفت شركة SOCRadar مهاجماً يسعى لتحقيق هدف مشابه، حيث وجدت أدوات PHP2Shell على خادم يتحكم به المهاجم، وقد تركت ملفات العمل عليه قابلة للتصفح العام. تضمنت هذه الملفات سلسلة استغلال لإصدار PHP 8.4.26 على Apache mod_php، والتي اختبرها المشغل في مختبره ووصفها بأنها استغلال بنقرة واحدة. كما تضمنت الملفات سكربتات مرافقة للتحقق مما إذا كانت المواقع الحقيقية تملك الإعدادات التي يتطلبها الاستغلال.

وفقاً لـ SOCRadar، فإن هذه السلسلة تعمل فقط على الخوادم المجهزة بشكل يشبه أنظمة الاختبار أكثر من الأنظمة الإنتاجية المعززة. قام المشغل بتحديد بصمة حوالي 20 موقعاً في دول تشمل الولايات المتحدة والمملكة المتحدة وكندا وفرنسا وفنلندا وبولندا والصين، وقام بفحص 11 منها بعمق أكبر، لكن لا أحد منها استوفى متطلبات الاستغلال. وأكدت الشركة أنه حتى 22 أكتوبر 2026، لم ترصد أي دليل على وصول قشرة (shell) لأي موقع تم فحصه.

حللت شركة Hunt.io أيضاً الخادم ذاته، وكشفت أن المشغل أجرى 10 جولات هجمات، موسعة قائمة الأهداف لتشمل 123 خوادم مستضافة لدى مزودي خدمات سحابية وشركات استضافة مشتركة ومزودي خدمات إنترنت. كانت حوالي 57 من هذه الخوادم تعمل بنظام PHP، ورفضت 10 منها الطلبات، ولم يتم استغلال أي منها بنجاح.

تأخر التحديثات وتجاهل التحذيرات

أظهر تحليل أجرته شركة Qualys على بيانات مجهولة الهوية من 12,000 عميل أن 199,000 فقط من حالات PHP تم تحديثها خلال 12 ساعة من الكشف عن الثغرات. وتشير البيانات إلى أن حوالي 110 مليون حالة، أي ما يعادل 71%، تعمل بإصدارات PHP من 5.4 إلى 8.1، وهي إصدارات انتهت صلاحيتها ولن تتلقى أي تحديثات من المورد. كما تعمل 44 مليون حالة أخرى على فروع PHP مدعومة حيث تتوفر إصلاحات لكنها لم يتم تطبيقها بعد.

حتى صباح 23 أكتوبر، لم تضف وكالة الأمن السيبراني وأمن البنية التحتية (CISA) أي من الثغرتين إلى كتالوج الثغرات المستغلة المعروفة (KEV). وتتابع شركة Censys تقدم التحديثات لثغرات PHP2Shell في الوقت الفعلي من خلال لوحة تحكم عامة تعرض عدد خدمات PHP المعرضة للهجوم على الإنترنت التي لا تزال تعمل بإصدار معرض للخطر.

إجراءات احترازية واسعة النطاق

أثارت التهديدات العديد من المؤسسات لاتخاذ إجراءات احترازية، حيث أغلقت بعض الأنظمة مؤقتاً. في 21 أكتوبر، اختفت عدة مواقع حكومية ومدارس ومستشفيات في أوروبا عن الأنظار. وأعلنت الحكومة البريطانية أن 32 من خدماتها كانت غير متاحة و4 خدمات أخرى غير متاحة جزئياً، وذلك في الغالب بسبب إجراءات احترازية تم اتخاذها أثناء تطبيق التحديثات.

تُعرف ثغرات PHP2Shell باسم CVE-2026-109618 وCVE-2026-109619، وهي ثغرتان حرجتان في محرك PHP يمكن استغلالهما لتنفيذ شيفرة عن بُعد دون مصادقة. حصلت كل ثغرة على درجة 9.2 في تصنيف CVSS v4.0. اكتشفت شركات Wiz وOpenAI وCalif هذه المشكلات في أغسطس، وقامت PHP بإصلاحها في 21 أكتوبر عبر إصدارات 8.5.12 و8.4.27 و8.3.36 و8.2.35، وذلك قبل يوم من الموعد المخطط له بعد تسرب معرّفات الثغرات على الإنترنت.