هاكر يخترق خادم PHP ويحصل على مكافأة بيتكوين في تحدي أمني
أثارت تجربة «اسرق بيتكوين» ضجة في أوساط الأمن السيبراني بعد نجاح أحد الباحثين في اختراق خادم متعمد الثغرات واستلام المكافأة خلال أقل من 20 ساعة.
رضوان عبدالهاديمحرر وكاتب تقني
نجاح الاختراق واستلام المكافأة
أعلن منشور على موقع Steal My Bitcoin عن نجاح هاكر في اختراق خادم عرضة للاستغلال، حيث حصل على مكافأة مالية بقيمة 2021.22 دولاراً أمريكياً من بيتكوين. أكد منشئ التحدي هذا الفوز في 25 أكتوبر، مما أنهى تجربة مصممة لاختبار مدى سهولة استغلال الثغرات البرمجية الحرجة في الوقت الحالي. ويمكن الرجوع إلى Tom's Hardware للاطلاع على التفاصيل الأصلية للمصدر.
بدأ التحدي بتقديم مكافأة تقدر بنحو 502 دولاراً، لكن التبرعات رفعت المبلغ إلى 0.02511679 عملة بيتكوين. سُجّل نجاح المطالبة في الساعة 15:47 بتوقيت UTC بعد مرور حوالي 19.28 ساعة على بدء التجربة، مما يعكس سرعة استجابة الباحثين الأمنيين للتحدي.
تفاصيل ثغرات PHP2Shell
تأتي هذه التجربة عقب الكشف عن ثغرتين حرجتين في لغة PHP تحملان المعرفات CVE-2026-109618 وCVE-2026-109619. تتيح هذه الثغرات تنفيذ أكواد عن بُعد تحت ظروف معينة، وتم تصنيفها بدرجة خطورة حرجة. أصدرت فرق التطوير إصلاحات لهذه الثغرات في 21 أكتوبر، لكن تحويلها إلى هجوم موثوق يتطلب أكثر من مجرد تشغيل أداة استغلال عامة.
يشير مصطلح PHP2Shell إلى عيوب في عمليات معالجة الطلبات وإدارة الذاكرة في PHP. في الإعدادات الضعيفة، يمكن للمهاجم استغلال هذه العيوب لتنفيذ أكواد بصلاحيات حساب خادم الويب، مما يمنحه تحكماً كاملاً في النظام المستهدف.
آلية الهجوم التقنية
نشر الفائز، المعروف باسم «KillaBoi»، مفهوماً تجريبياً على GitHub يصف الهجوم على التحدي المباشر ويوفر بيئة اختبار محلية. استغل الهجوم طريقة معالجة PHP لرفع الملفات متعددة الأجزاء وبيانات الجلسة، حيث دفع المهاجم عامل PHP لتجاوز حد الذاكرة، مما أدى إلى ترك الحالة الداخلية في حالة غير متسقة.
سمحت الطلبات اللاحقة بكشف محتويات الذاكرة عبر ملفات تعريف الارتباط للجلسة، مما يوفر معلومات عن مواقع هياكل الذاكرة والأكواد القابلة للتنفيذ في PHP. استخدم المهاجم هذه العناوين لبناء بنية بيانات مزيفة أدت إلى تنفيذ أوامر أثناء عملية التنظيف، وأظهرت الطلبات النهائية دليلاً على تنفيذ الأوامر داخل العملية.
تتبع الأموال على السلسلة
على الرغم من نجاح الاختراق، لم يتطابق المفتاح الخاص المستعاد مع عنوان الجائزة المعلن. ومع ذلك، تُظهر البيانات على السلسلة أن الأموال وُجّهت لاحقاً إلى عنوان محفظة باردة تابعة لمنصة Kraken. هذا التتبع يؤكد انتقال الملكية الفعلية للأموال إلى الفائز رغم التعقيدات التقنية في استرداد المفتاح الأصلي.
سياق استعادة العملات الرقمية
تتضمن جهود استعادة البيتكوين السابقة هندسة عكسية للبرمجيات بدلاً من استغلال خادم مباشر. في عام 2024، استعاد الهاكر «Kingpin» والباحث Bruno وصولاً إلى 43.6 عملة بيتكوين كانت قد ضاعت بسبب نسيان كلمة مرور. اكتشف الباحثون عيباً في مولد كلمات المرور القديم لجعلها قابلة للتنبؤ، مما ساهم في استعادة المحفظة التي زادت قيمتها بشكل كبير.
في قضية أحدث، استعاد مالك مجهول خمس عملات بيتكوين في مايو 2026 بعد فقدان الوصول لسنوات. ساعده الذكاء الاصطناعي في تحديد ملف نسخة احتياطية يمكن فك تشفيره بكلمة مرور مكتوبة يدوياً، مما يؤكد الدور المتزايد للأدوات الذكية في استعادة الأصول الرقمية.
تداعيات أمنية على المطورين
تواجه فرق الأمان ضغطاً متزايداً لتطبيق تصحيحات PHP بعد الكشف العلني عن PHP2Shell. أربك النشر المبكر للثغرة عملية الإفراج المنسّق، لكن الأدلة على الهجوم الناجح الأخير تشير إلى أن استغلال هذه الثغرات قد لا يكون صعباً كما كان يُعتقد سابقاً، مما يستدعي تحركاً عاجلاً من قبل المطورين.
المصادر
- Tom's HardwareBitcoin reward offered to anyone who could break into an unpatched server running PHP, hacker cracks site and claims bounty
تابع التسلسل الزمني
تغطية الكيانات المرتبطة
أخبار مرتبطة
PHP تحذر من إصدار 3 تصحيحات أمنية طارئة خلال ساعات
فريق تطوير PHP يعلن عن إصدار تصحيحات عاجلة لثمن ثغرات حرجة تسمح بالتنفيذ عن بُعد. خبراء أمنيون يحذرون من هجمات واسعة النطاق فور توفر التحديثات.
استغلال ثغرات PHP2Shell الحرجة بنجاح في العالم الحقيقي
كشفت أجهزة الطُعم عن استغلال ناجح لثغرتي PHP2Shell الحرجتين، مما يؤكد تنفيذ أكواد عن بُعد على خوادم Apache mod_php، وسط تحذيرات أمنية عاجلة.
أمازون: استغلال ثغرات PHP2Shell بدأ قبل 4 أيام من التصحيح
كشف باحثو أمني أمازون أن مهاجمين استغلوا ثغرات PHP2Shell الحرجة قبل 4 أيام من إصدار التصحيحات، وسط تحذيرات من استغلال واسع وشيك في البرمجيات.
OpenAI تكشف ثغرات حرجة في PHP تهدد 70% من مواقع الويب
أعلنت OpenAI أن نموذج GPT-5.6 Sol ساعد في اكتشاف ثغرات أمنية حرجة في لغة PHP، مما دفع المؤسسة لإصدار تحديثات عاجلة لحماية ملايين المواقع من استغلال محتمل.
