ثغرتان حرجتان في PHP كادتا تُصيبان ثلثي الإنترنت بالشلل الكامل

كشفت شركة الأمن السيبراني Calif، بالتعاون مع مؤسسة PHP، عن ثغرتين أمنيتين حرجتين في لغة البرمجة PHP التي يعتمد عليها نحو 70 بالمئة من المواقع العاملة على الإنترنت، في واقعة وصفها مراقبون بأنها كادت "تقلب الشبكة العالمية رأساً على عقب"، ويبدو أنها لن تكون الأخيرة من نوعها. الثغرتان، اللتان حملتا الاسم التقني PHP2Shell ورقمي التعريف CVE-2026-109618 وCVE-2026-109619، تتيحان لأي مهاجم اختراق خادم متصل بالإنترنت ويعمل بنسخة غير مرقّعة من PHP، من دون الحاجة إلى كلمة مرور أو أي بيانات اعتماد، ومن دون أن يضطر الضحية إلى فتح ملف أو النقر على رابط. والأخطر أن الثغرتين تتيحان تنفيذ التعليمات البرمجية عن بُعد، وهو ما قد يمنح المهاجم سيطرة كاملة تقريباً على الخادم المستهدف، بما يسمح بزرع برمجيات خبيثة لسرقة البيانات أو تثبيت موطئ قدم دائم داخل الشبكة.

عثر باحثو Calif على الخلل الأساسي في شيفرة PHP خلال عملية تدقيق أمني أجروها عام 2024، لكنهم في تلك المرحلة لم يعتقدوا أنه قابل للاستغلال فعلياً، فلم يُصلح وقتها. وبعد ذلك، نجح فريق Calif في ابتكار طريقة عملية لاستغلال الثغرتين، فبادر بتنبيه مؤسسة PHP، الجهة المسؤولة عن تطوير اللغة وصيانتها. ونسّقت المؤسسة عملية إفصاح منسّق تحت غطاء من السرية الصارمة، أعطت خلالها كبرى الشركات التقنية ومزوّدي الاستضافة حق الوصول المبكر إلى الترقيعات قبل الإعلان العام. وكانت Calif تشارك في مبادرة "Hack the Planet" التي تقودها OpenAI وشركة Wiz، والتي تولّت التحقق من نماذج إثبات المفهوم التي طوّرها فريق Calif. وأوضحت الشركة أن الذكاء الاصطناعي ساعد في عملية البحث، لكن الجزء الأكبر من الكشف استند إلى معرفة الفريق العميقة بشيفرة PHP وتاريخها الطويل من الثغرات، مؤكدة في تصريح لها أن "لا نموذج قادر وحده على اكتشاف كل الثغرات بمجرد كتابة أوامر بسيطة".

لكن قبل أن تصدر الترقيعات الرسمية بنحو أسبوع كامل، رصدت شركة أمازون نشاطاً يشير إلى استغلال فعلي للثغرتين في البيئة الحقيقية، ونصحت فرق الحماية بالتحقق من أي آثار اختراق تعود إلى السابع عشر من أكتوبر. ويبقى مصدر هذا التسريب المبكر غامضاً، وتشمل التفسيرات المحتملة تسرّباً من داخل فترة الحظر الزمني للإفصاح، أو اكتشافاً مستقلاً من جهة أخرى، أو حتى نشاطاً تجسسياً منظماً، إضافة إلى أن نشر ترقيعات مفتوحة المصدر قد يكشف بذاته موضع الخلل وطريقة إصلاحه لمن يدقق فيها. من جهتها، حمّلت مؤسسة PHP شركة واحدة مسؤولية نشر ترقيعاتها قبل ساعات من انتهاء فترة الحظر المتفق عليها، لكن هذا التفسير لا يوضح وحده النشاط المشبوه الذي استمر أسبوعاً كاملاً كما رصدته أمازون. وبحلول مساء يوم الجمعة، أعلنت شركتا Palo Alto Networks وTrail of Bits عن رصد حالات اختراق مؤكدة ونشاط ما بعد الاستغلال على أنظمة تضررت فعلياً من الثغرتين.

ويعود اتساع رقعة التأثير إلى انتشار PHP الهائل؛ فهي، وإن كان استخدامها يتراجع تدريجياً لصالح لغات أحدث، لا تزال تشكّل البنية الأساسية لمنصات شهيرة مثل WordPress وDrupal وJoomla وMediaWiki، فضلاً عن وجودها في أدوات تطوير وحزم تعمل من سطر الأوامر، وحتى في مكوّنات برمجية داخل أجهزة التوجيه ووحدات التخزين والجدران النارية وشبكات VPN. وقال مات برنس، الرئيس التنفيذي لشركة Cloudflare، إن الشركة شهدت ارتفاعاً متسارعاً في محاولات الاستغلال بعد الإعلان عن الثغرتين. وفي ظل هذا الخطر، أوقفت بنوك ومتاجر تجزئة ومواقع ألعاب ومستشفيات، وحتى بعض الجهات الحكومية، أنظمتها عن العمل مؤقتاً لتطبيق الترقيعات، بينما دعت حكومات عدة المواقع والشركات إلى التحرك فوراً. ومع ذلك، يحذّر باحثون من أن أعداداً كبيرة من الأنظمة لا تزال من دون ترقيع، وأن بعض الأنظمة القديمة، أو ما يُعرف بالأنظمة الموروثة، قد لا تُحدَّث على الإطلاق.

في المنطقة العربية تضاعفت الخطورة بفعل الاعتماد الواسع على WordPress وأنظمة PHP في عشرات آلاف المواقع الحكومية والتجارية، من بوابات الخدمات الإلكترونية في السعودية والإمارات إلى منصات التجارة الإلكترونية في مصر والمغرب. وقد أصدرت هيئة الأمن السيبراني الوطنية السعودية ومجلس الأمن السيبراني الإماراتي تحذيرات عاجلة تدعو المؤسسات إلى الترقية الفورية، فيما اضطرت عدة جهات حكومية عربية إلى تعليق خدماتها الرقمية مؤقتاً في الساعات الأولى من الأزمة، كاشفةً عن هشاشة البنية التحتية الإلكترونية حين تعتمد على أنظمة لم تُدرَّج أمنياً بصورة دورية.

ويضع هذا الحادث نفسه في سياق أزمات رقمية كبرى سابقة، مثل هجوم الروبوتات الخبيثة على خدمة Dyn عام 2016، وانتشار برمجية الفدية WannaCry عام 2017، وعطل التحديث الذي أصاب أنظمة CrowdStrike عام 2024. وتكمن المعضلة الأعمق في أن PHP، كغيرها من تقنيات الويب القديمة، تُصنَّف ضمن اللغات غير الآمنة من ناحية الذاكرة، وهو ما يجعلها عرضة لثغرات بنيوية متكررة؛ وتشير وكالة الأمن القومي الأميركية إلى أن نحو 75 بالمئة من الثغرات المستغلة فعلياً حول العالم مرتبطة بأخطاء في التعامل مع الذاكرة. ويحذّر خبراء من أن أدوات الذكاء الاصطناعي، التي تسرّع اليوم عملية اكتشاف الثغرات في البرمجيات القديمة، قد تجعل من حوادث مشابهة لهذه الأزمة أمراً معتاداً في السنوات المقبلة، لا استثناءً نادراً.