انتقل إلى المحتوى

PHP2Shell

مفحوصة
من ويكيبيديا، الموسوعة الحرة
PHP2Shell
الشعار
معلومات عامة
النوع
named vulnerability [الإنجليزية] ترجم[1] عدل القيمة على Wikidata
تاريخ الاكتشاف
1 أغسطس 2026[2] عدل القيمة على Wikidata
موقع الويب
php2shell.com (الإنجليزية) عدل القيمة على Wikidata

تعديل - تعديل مصدري - تعديل ويكي بياناتحول القالب

PHP2Shell هي مجموعة من ثغرتين أمنيتين عاليتي التأثير (CVE-2026-109618 و CVE-2026-109619) في إصدارات بي إتش بي من 5.4 – 8.5 والتي تسمح بتنفيذ التعليمات البرمجية عن بعد (RCE). أُعلنت عن وجودها علنًا في 20 أكتوبر 2026.[3] أُصدر تحديث طارئ للإصدارات 8.2 و8.3 و8.4 و8.5، بالإضافة إلى تفاصيل حول الثغرات الأمنية، في اليوم التالي.[4]

الاكتشاف

[عدل | عدل المصدر]

تتأثر إصدارات PHP القديمة، بدءًا من الإصدار 5.4 (الذي صدر عام 2012)،[5] بهذه الثغرات الأمنية، وعلى الرغم من أن المخاوف بشأن أخطاء أمان الذاكرة قد أثيرت قبل عقود، إلا أنه لم يُتخذ أي إجراء في ذلك الوقت لأنه لم يكن يُعتقد أن تطوير برنامج استغلال فعال لهذه الثغرات أمر ممكن.[6] اكتشف أحد مطوري لغة PHP الأساسية خطأ نفاد الذاكرة الذي يقف وراء إحدى الثغرات الأمنية خلال عملية تدقيق في عام 2024، لكن لم يُصلح هذا الخلل؛ إذ لم يتمكن فريق التطوير من التوصل إلى اتفاق بشأن كيفية القيام بذلك، ولم تُكتشف ثغرة استغلال محددة بعد، لذا لم تُعطَ هذه المشكلة الأولوية.[7][8]

اكتُشفت نقاط الضعف بشكل مستقل من قبل طرفين: ريان أوستن، وهو باحث في شركة الأمن Calif التي تتخذ من كاليفورنيا مقراً لها،[9] كجزء من مشروع أوبن أيه آي "Patch the Planet" في أغسطس 2026؛ وشركة الأمن السحابي الإسرائيلية الأمريكية Wiz، وهي شركة تابعة لشركة ألفابت وجزء من منصة جوجل السحابية. استخدم أوستن نموذج «GPT-5.6 سول» من أوبن أيه آي للمساعدة في اكتشاف الثغرة الأمنية.[10] استخدم باحثو Wiz نماذج اللغة الكبيرة جيميناي 4 أرغون و«GPT-5.6 سول»، بالإضافة إلى أداتهم الخاصة، Wiz Atlas، للمساعدة في أبحاثهم.[11]

صُنفت الثغرة الأمنية بدرجة 9.2 (حرجة) من أصل 10 وفقًا لمعيار CVSS v4.0 من قبل مطوري PHP،[12] بينما صنفتها شركة الأمن watchTowr بدرجة 10.0 كاملة.[13]

التحديثات

[عدل | عدل المصدر]

أصدر القائمون على صيانة لغة PHP نسخًا مُعدّلة من PHP 8.2 و8.3 و8.4 و8.5 (8.2.35 و8.3.36 و8.4.27 و8.5.12).[4] أُصدرت تصحيحات لشفرة المصدر للإصدارات 7.4 و 8.0 و 8.1، ولكن لم تُصدر أي ملفات ثنائية محدثة رسمية لتلك الإصدارات لأنها تعتبر منتهية الصلاحية.[4] كما نُشرت حلول مؤقتة للتخفيف من المخاطر، لكن القائمين على الصيانة قالوا إنه لا توجد حلول كاملة وأن التحديث هو الخيار الآمن الوحيد.[4] نُشرت كلتا الثغرتين من خلال إشعارات الأمان على غيت هاب في 21 أكتوبر 2026 الساعة 13:34 بالتوقيت العالمي المنسق،[14] [15] قبل 26 دقيقة من وقت الإصدار المعلن، وتم تحديث موقع PHP الإلكتروني بعد ذلك بوقت قصير.[بحاجة لمصدر]

أعلن القائمون على صيانة PHP عن التحديث مبكراً وقبل إصداره، بعد تسريب أخبار عن الثغرات الأمنية في 20 أكتوبر على منتديات هاكر نيوز،[16] وفي منشور على X من قبل شركة الأمن السيبراني watchTowr labs، وفي فيديو إثبات المفهوم الذي أصدره كاليف عن طريق الخطأ.[17][7] شجع الإشعار المبكر على موقع PHP.net المستخدمين على الاستعداد والتحديث فور إصدار التصحيح.[4] توقعت إحدى شركات الأمن، وهي شركة سانسيك، أن "تبدأ الهجمات الجماعية في غضون 15 دقيقة من إطلاق الثغرة الأمنية".[18] بدأت نماذج إثبات المفهوم للثغرات الأمنية، والتقارير، والحلول الجزئية بالانتشار على الإنترنت قبل انتهاء فترة الحظر، وذلك بعد أن أصدرت منصة التطوير Chainguard نسخًا مُعدّلة من البرنامج مبكرًا؛ مما سمح للمهاجمين بتحديد التغييرات التي طرأت على الكود.[13] [19] [7]

رصدت وحدة استخبارات التهديدات في أمازون محاولة استغلال ثغرة PHP2Shell تعود إلى 17 أكتوبر 2026، وذلك في بيانات تتبع MadPot، قبل أربعة أيام من الكشف عنها للجمهور.[20] أبلغت شركة كلاود فلير عن مؤشرات استغلال مبكر قبل إصدار التحديث العام، وقامت بنشر قواعد جدار حماية تطبيقات الويب (WAF) مؤقتة كمحاولة للتخفيف من حدة الثغرة الأمنية.[21] [22] [23] أعلنت شركة الأمن الإلكتروني watchTowr أنها رصدت استغلالاً للثغرات الأمنية في بيئة حقيقية بحلول 21 أكتوبر عبر شبكتها الوهمية،[24] بينما صرحت وكالة الأمن السيبراني وأمن البنية التحتية الأمريكية (CISA) أنها لم ترصد أي استغلال حتى اليوم نفسه.[25]

التأثير

[عدل | عدل المصدر]

تستخدم حوالي 69% من مواقع الويب لغة PHP، بما في ذلك تلك التي تستخدم أنظمة إدارة المحتوى مثل دروبال وجوملا ووردبريس، لذا كانت التأثيرات المحتملة واسعة النطاق.[25][26] كما تُضمن لغة PHP مع أجهزة البائعين، ولوحات تحكم استضافة المواقع مثل سي بانل وبلسك، وبعض تطبيقات ويندوز.[27]

بناءً على نصيحة من فريق الاستجابة لحوادث أمن الحاسوب التابع للاتحاد الأوروبي (CERT -EU) والمركز الوطني البريطاني للأمن السيبراني، قامت العديد من المنظمات في جميع أنحاء أوروبا بإيقاف مواقعها الإلكترونية مؤقتًا كإجراء احترازي ريثما يتم إصدار التحديثات الأمنية، بما في ذلك بوابة الحكومة الهولندية Overheid.nl، ومنصة التواصل المدرسية الوطنية الدنماركية، وجميع خدمات الويب العامة للحكومة الفنلندية، وجميع مواقع وزارة الداخلية الفرنسية.[11][26][28][29] أوصت وكالة الأمن القومي الأمريكية بإيقاف تشغيل المواقع الإلكترونية إذا تعذر تحديثها فوراً.[6][30] أصدر المركز الوطني للأمن السيبراني في المملكة المتحدة تحذيراً مماثلاً، حث فيه المؤسسات على توخي الحذر من الثغرات الأمنية.[31] نصح المكتب الوطني الياباني للأمن السيبراني مستخدمي لغة PHP بتحديث أنظمتهم على الفور.[32]

أغلقت مؤسسة ويكيميديا العديد من خدماتها الداعمة، وتوقفت مواقع المنتديات فورتشان وسمثنغ أوفول عن العمل.[25][33][6] كما تعطلت أجزاء من الإنترنت الياباني، بما في ذلك ألعاب مثل أوما موسومي ديربي الجميلة و Granblue Fantasy و Princess Connect! Re:Dive، والعديد من مواقع التجارة الإلكترونية.[32][33] أُغلقت خدمة أرشيف الإنترنت لفترة وجيزة لإصلاح المشكلة.[34]

التحليل

[عدل | عدل المصدر]

ذكر الباحثون في شركة Wiz أن المشكلة تضاهي ثغرة هارت بليد؛ وهي ثغرة أمنية ظهرت عام 2014 وأثرت على مكتبة تشفير كان يستخدمها حوالي ثلثي مواقع الويب في ذلك الوقت.[35] أشارت تعليقات في صحيفة الغارديان إلى أن مؤسسة PHP، التي تتولى صيانة لغة PHP، لم يكن لديها سوى 13 موظفًا بدوام كامل وجزئي، وتعتمد على المساهمات المالية، في حين أن أبحاث الذكاء الاصطناعي، التي يُنسب إليها الفضل في المساعدة على اكتشاف الثغرة الأمنية، تلقت "مليارات" من الاستثمارات.[36]

أجرَت شركة فيريديان،[37] المتخصصة في بيانات الشركات، تحليلاً لرصد تقنيات الويب، حيث ربطت بين إصدارات لغة PHP المتأثرة بالثغرات وبين الشركات التي تدير تلك المواقع الإلكترونية. وقد كشف التحليل عن وجود نحو 7.07 مليون شركة تستخدم إصداراً متأثراً، معظمها شركات يعمل لديها أقل من 50 موظفاً؛ في حين استُبعدت 21.9 مليون شركة أخرى كانت تستخدم اللغة دون الكشف عن رقم الإصدار المستخدم.

المراجع

[عدل | عدل المصدر]
  1. ↑ وصلة مرجع: https://www.bsi.bund.de/SharedDocs/Cybersicherheitswarnungen/DE/2026/2026-297981-1032.pdf?__blob=publicationFile&v=3.
  2. ↑ "PHP2Shell: Critical PHP RCE (CVE-2026-109618, CVE-2026-109619)" (بالإنجليزية). Retrieved 2026-10-21.{{استشهاد بويب}}: صيانة الاستشهاد: لغة غير مدعومة (link)
  3. ↑ "PHP: News Archive - 20 Oct 2026". www.php.net (بالإنجليزية). 20 Oct 2026. Retrieved 2026-10-21.
  4. 1 2 3 4 5 "PHP: News Archive - 21 Oct 2026". www.php.net (بالإنجليزية). 21 Oct 2026. Retrieved 2026-10-21.
  5. ↑ "PHP: Releases". www.php.net (بالإنجليزية). Retrieved 2026-10-22.
  6. 1 2 3 Kan, Michael (21 Oct 2026). "This Flaw Is So Serious Websites Should Consider Going Offline, NSA Says". PCMAG (بالإنجليزية). Retrieved 2026-10-21.
  7. 1 2 3 Constantin، Ana Maria (21 أكتوبر 2026). "PHP knew about one of the flaws in 2024 but could not agree a fix". The Next Web. اطلع عليه بتاريخ 2026-10-21.
  8. ↑ "Today's PHP Security Release, and How We're Strengthening PHP Security". thephp.foundation (بالإنجليزية). Retrieved 2026-10-21.
  9. ↑ Volz، Dustin (8 سبتمبر 2026). "A Hacking Tool Built With A.I. Can Breach Phones Without a Click". The New York Times. اطلع عليه بتاريخ 2026-10-21.
  10. ↑ McMillan، Robert (21 أكتوبر 2026). "Exclusive | AI Just Found a Bug That Puts up to 70% of the World's Websites at Risk". Wall Street Journal. اطلع عليه بتاريخ 2026-10-21.
  11. 1 2 Satter, Raphael; Marchandon, Leo; Ghosh, Kanjyik; Pardesi, Rajveer (21 Oct 2026). "Government websites go dark after AI-discovered flaw sparks security scramble". Reuters (بالإنجليزية). Retrieved 2026-10-21.
  12. ↑ "php.announce: [ANNOUNCE] Upcoming Critical PHP Security Release". news-web.php.net. اطلع عليه بتاريخ 2026-10-21.
  13. 1 2 Abrams, Lawrence. "PHP warns admins of two critical flaws, emergency patches coming tomorrow". BleepingComputer (بالإنجليزية الأمريكية). Retrieved 2026-10-21.
  14. ↑ "RCE via OOM corruption". 21 أكتوبر 2026. اطلع عليه بتاريخ 2026-10-21.
  15. ↑ "RCE via stale global state". 21 أكتوبر 2026. اطلع عليه بتاريخ 2026-10-21.
  16. ↑ "Tell HN: 2x PHP RCE CVEs with CVSS 10.0 Incoming | Hacker News". news.ycombinator.com (بالإنجليزية). Archived from the original on 2026-10-21. Retrieved 2026-10-22.
  17. ↑ Khandelwal, Swati (21 Oct 2026). "PHP2Shell: Two Unpatched Critical PHP RCE Flaws (CVSS 9.2) Trigger Emergency Security Alert". The Hacker News (بالإنجليزية). Retrieved 2026-10-21.
  18. ↑ Goodin, Dan (20 Oct 2026). "PHP warns it plans to release 2 emergency patches imminently". Ars Technica (بالإنجليزية). Archived from the original on 2026-10-21. Retrieved 2026-10-21.
  19. ↑ "Only for the curious..." jackalsyn.com. اطلع عليه بتاريخ 2026-10-21.
  20. ↑ "Amazon Threat Intelligence identifies PHP2Shell exploitation prior to public disclosure in MadPot | AWS Security Blog". aws.amazon.com. 21 أكتوبر 2026. اطلع عليه بتاريخ 2026-10-22.
  21. ↑ Gatlan, Sergiu (21 Oct 2026). "PHP ships emergency patches for critical PHP2Shell flaws". BleepingComputer (بالإنجليزية الأمريكية). Retrieved 2026-10-21.
  22. ↑ "Hold on to your butts: Web admins braced for emergency PHP updates to plug leaked exploits". PC Gamer (بالإنجليزية). 21 Oct 2026. Retrieved 2026-10-21.
  23. ↑ Knecht، Dane (21 أكتوبر 2026). "Dane Knecht 🦭 (@dok2001) on X". X (formerly Twitter).
  24. ↑ "PHP RCE FAQ: PHP2Shell CVE-2026-109618 & CVE-2026-109619". watchTowr (بالإنجليزية). 20 Oct 2026. Retrieved 2026-10-21.
  25. 1 2 3 Collier, Kevin (21 Oct 2026). "Critical vulnerabilities in commonly used web code spark rush to update systems". NBC News (بالإنجليزية). Retrieved 2026-10-21.
  26. 1 2 Gerkin، Tom (21 أكتوبر 2026). "Websites taken down worldwide as critical PHP cyber-security update issued". BBC News. اطلع عليه بتاريخ 2026-10-21.
  27. ↑ Hammond, John (21 Oct 2026). "Rapid Response: php2shell, Leaked Critical PHP Vulnerabilities (CVE-2026-109618 & CVE-2026-109619)". Huntress (بالإنجليزية). Retrieved 2026-10-21.
  28. ↑ Van Dessel, Josse (21 Oct 2026). "Major websites go offline as critical PHP vulnerability triggers security fears". The Brussels Times (بالإنجليزية). Retrieved 2026-10-21.
  29. ↑ "Critical security issue affecting PHP" (Press release). National Cyber Security Centre. 21 أكتوبر 2026.
  30. ↑ "NSA Advisory: PHP Updates". NSA Press Room. 21 أكتوبر 2026. اطلع عليه بتاريخ 2026-10-21. Effective immediately, all organizations using PHP for their systems are advised to be prepared for an update addressing two critical vulnerabilities.
  31. ↑ Booth، Robert؛ Down، Aisha (21 أكتوبر 2026). "Flaw in PHP computer language leads to shutdown of websites around world". The Guardian. اطلع عليه بتاريخ 2026-10-21.
  32. 1 2 "著名ITサービス相次いで緊急メンテへ　コドモン、シャドバ、BASE、さくらのレンタルサーバなど　「PHP」脆弱性に起因か" [Several prominent IT services—including Codmon, Shadowverse, BASE, and Sakura Rental Server—have initiated emergency maintenance, likely due to a vulnerability in PHP] (باليابانية). ITmedia. 21 Oct 2026. Retrieved 2026-10-21.
  33. 1 2 Tauber, Olivia (21 Oct 2026). "PHP vulnerability: Which websites and services are affected?". Mashable (بالإنجليزية). Retrieved 2026-10-21.
  34. ↑ Smith, Paul; Mizen, Ronald (21 Oct 2026). "AI just discovered a bug putting 70pc of world's websites at risk". Australian Financial Review (بالإنجليزية). Retrieved 2026-10-22.
  35. ↑ Eadicicco, Lisa (21 Oct 2026). "Global websites shut down after AI found a critical flaw affecting 70% of the internet | CNN Business". CNN (بالإنجليزية). Retrieved 2026-10-22.
  36. ↑ Taylor، Josh (22 أكتوبر 2026). "What is PHP, and how bad is the computer language flaw causing website shutdowns globally?". The Guardian. اطلع عليه بتاريخ 2026-10-22.
  37. ↑ "PHP2Shell: We Traced 7 Million Potentially Exposed Companies Across 244 Countries". www.linkedin.com. اطلع عليه بتاريخ 2026-10-22.

روابط خارجية

[عدل | عدل المصدر]
مجلوبة من «https://ar.wikipedia.org/w/index.php?title=PHP2Shell&oldid=77049154»