تسارعت الجهود حول العالم لإصلاح ثغرتين أمنيتين حرجتين في لغة البرمجة PHP، بعدما حذرت جهات أمنية من إمكان استغلالهما لتنفيذ أوامر برمجية عن بُعد والسيطرة على خوادم متأثرة، ما دفع مؤسسات حكومية ومستشفيات ومنظمات إلى تعطيل مواقع إلكترونية احترازياً.
وقالت صحيفة واشنطن بوست، في تقرير نشرته الأربعاء، إن الخلل يطال تقنية مستخدمة في ما يصل إلى 70 بالمئة من مواقع الإنترنت، مشيرة إلى أن اكتشافه بمساعدة الذكاء الاصطناعي أثار مخاوف من قدرة المهاجمين على تطوير أدوات استغلال بسرعة، قبل أن تتمكن المؤسسات من تحديث أنظمتها.
وتتعلق الثغرتان، المعروفتان باسم “php2shell”، بمعالجة الذاكرة والحالة الداخلية للطلبات في PHP، وهي لغة برمجة مفتوحة المصدر تُستخدم لتشغيل الوظائف الخلفية للمواقع والتطبيقات الإلكترونية. وقد تتيحان للمهاجم تنفيذ شيفرات برمجية على الخادم المتأثر من دون الحاجة إلى تسجيل الدخول، بما قد يفتح الطريق أمام سرقة البيانات أو تعديلها أو تعطيل الخدمات.
وحصلت الثغرتان على درجة خطورة 9.2 من 10 وفق نظام التقييم الأمني CVSS الإصدار الرابع، وصُنّفتا ضمن الفئة الحرجة. وتحملان الرقمين CVE-2026-109618 وCVE-2026-109619.
واكتشف باحثون في شركة الأمن السيبراني “Calif” الخلل الأول بمساعدة نموذج ذكاء اصطناعي متقدم، ضمن مبادرة تقودها شركة «أوبن إيه آي» لتوظيف هذه التقنيات في العثور على نقاط الضعف البرمجية. وقالت الشركة إن باحثين من “Wiz” اكتشفوا الثغرتين بصورة مستقلة وأبلغوا عنهما أيضاً.
وبحسب واشنطن بوست، بدأ الباحثون إبلاغ الجهات المعنية بالخلل في أغسطس/آب، ما أتاح لمطوري PHP وشركات الأمن السيبراني تنسيق الاستجابة وإعداد الإصلاحات قبل الكشف العلني عن المشكلة في 21 أكتوبر/تشرين الأول.
وأوضحت أوبن إيه آي أن الحادثة تبرز قدرة النماذج المتقدمة على اكتشاف عيوب قد تؤثر في نطاق واسع من الإنترنت، لكنها حذرت في الوقت نفسه من أن القدرات ذاتها قد تساعد المهاجمين على تطوير أدوات هجومية بسرعة. وأشارت إلى أنها تعمل على إصلاح ثغرات مهمة أخرى اكتُشفت خلال عمليات البحث الأمني.
وفي إطار الاستجابة، أصدرت الجهات المطورة تحديثات أمنية عاجلة لإصدارات PHP المدعومة، فيما حذرت وكالة الاتحاد الأوروبي للأمن السيبراني والمفوضية الأوروبية وجهات أوروبية أخرى من ضرورة تحديد الأنظمة المتأثرة وتحديثها فوراً، مع إعطاء الأولوية للخوادم والتطبيقات المتاحة مباشرة عبر الإنترنت.
ودعت الجهات الأمنية المؤسسات التي لا تستطيع تثبيت الإصلاحات فوراً إلى عزل التطبيقات المعرضة للخطر عن الشبكات العامة مؤقتاً.
كما أوصت بمراجعة سجلات الخوادم والتطبيقات والمصادقة، والتحقق من وجود عمليات أو ملفات أو حسابات أو اتصالات خارجية غير معتادة قد تشير إلى اختراق سابق.
وأفادت رويترز بأن مؤسسات في عدة دول أوروبية عطلت مواقعها الإلكترونية بصورة احترازية. ففي ألمانيا، أوقف مزود خدمات تقنية اتحادي عدداً من المواقع، فيما عطلت وزارة الداخلية الفرنسية مؤقتاً مواقع المحافظات بانتظار إصلاح أمني للبرنامج الذي تستخدمه.
وفي بلجيكا، أوقفت وزارة الخارجية مواقعها عقب تقارير عن هجمات تستغل الثغرات، لكن مركز الأمن السيبراني البلجيكي قال إنه لم يسجل هجمات على المواقع البلجيكية. أما في هولندا، فشملت الإجراءات مواقع حكومية ومستشفيات وميناء روتردام والاتحاد الوطني لكرة القدم ومواقع أكبر خمسة أحزاب سياسية.
وفي فنلندا، أوقف مركز تكنولوجيا المعلومات الحكومي خدمات ويب عامة احترازياً، مؤكداً أنه لم يرصد محاولات لاستغلال الثغرات وأن التوقف لم يكن ناجماً عن اختراق للبيانات. كما عطلت الحكومة التشيكية موقعها بناء على توصية هيئة الأمن السيبراني إلى حين تثبيت التحديثات اللازمة.
وقالت مؤسسة “ويكيميديا”، المشغلة لموسوعة ويكيبيديا، إنها تعمل على معالجة الثغرات في الأنظمة التي تستخدم PHP، وإنها أوقفت عددا من الأنظمة الأخرى احترازيا إلى حين تأمينها.
وفي المقابل، أعلنت شركة “كلاودفلير” أنها أعدت تدابير حماية عبر أنظمة جدار الحماية لتطبيقات الويب، ونشرتها قبل الإعلان العام عن الثغرات، في محاولة لحماية المواقع ومساعدتها على مواصلة العمل.
ودعت منصة “ووردبريس” أصحاب المواقع إلى تحديث أنظمتهم فورا.
وتشمل المشكلة إصدارات PHP من 5.4 فما بعد، وفق التحذيرات التقنية، بما في ذلك بيئات تشغيل متعددة مثل PHP-FPM وApache مع وحدة mod_php وphp-cgi وFrankenPHP وLiteSpeed.
وأشارت الجهات الأمنية إلى أن الخطر قد يكون أكبر في بيئة mod_php، إذ أظهر اختبار استغلال إمكان تفعيل الخلل قبل تنفيذ شيفرة التطبيق نفسه.
وأُصدرت الإصلاحات للإصدارات المدعومة PHP 8.5.12 و8.4.27 و8.3.36 و8.2.35. أما الإصداران 8.1 وما قبلهما، فقد انتهى الدعم الأمني الرسمي لهما من مشروع PHP، رغم أن بعض توزيعات البرمجيات ومزودي الدعم طويل الأجل قد يوفرون إصلاحات منفصلة.
وحذرت الجهات الأمنية من أن نطاق المشكلة لا يقتصر على المواقع التي يعرف مشغلوها أنهم يستخدمون PHP، إذ تعتمد عليها منتجات تجارية ومفتوحة المصدر وأنظمة إدارة محتوى وخدمات استضافة في الخلفية، وقد تتأثر تطبيقات مثل ووردبريس ودروبال وجوملا وماجنتو بحسب إصداراتها وبيئة تشغيلها.
وتوصي السلطات بتحديث الأنظمة المتأثرة إلى نسخ مصححة ومدعومة، وفحص البرمجيات والأجهزة والخدمات التي قد تتضمن مكونات PHP، وعزل الأنظمة التي يتعذر إصلاحها فوراً، ومراجعة السجلات بحثاً عن مؤشرات اختراق. وإذا ظهرت أدلة على استغلال سابق، فإن تثبيت التحديث وحده لا يكفي، بل يتعين التحقيق في الحادث واحتواء آثاره.
وتكشف الحادثة عن تحدٍ متزايد لأمن الإنترنت، إذ يمكن لخلل واحد في تقنية واسعة الانتشار أن يفرض استجابة متزامنة على مؤسسات لا ترتبط ببعضها مباشرة. كما تبرز سباقاً بين المدافعين والمهاجمين للاستفادة من الذكاء الاصطناعي، الذي بات قادراً على تسريع اكتشاف الثغرات، لكنه قد يسرّع أيضاً تطوير وسائل استغلالها.
ولا يعني انتشار PHP أن نسبة مماثلة من المواقع تعرضت للاختراق، أو أن جميع الأنظمة المتأثرة استُغلت فعلياً. لكن سرعة نشر الإصلاحات وتحديد الأنظمة القديمة أو المنسية تظل عاملين حاسمين لتقليص نافذة الهجوم ومنع تحول الخلل البرمجي إلى اختراق واسع النطاق.