في الأربعاء، أدت تقنية ويب مفتوحة المصدر تعود لعقود عديدة، وهي PHP، إلى شبه تعطيل للإنترنت بسبب ثغرتين تم العثور على طرق لاستغلالهما مؤخرًا من قبل الباحثين بعد أن كانتا نائمتين لسنوات عديدة.
يُطلق على هذين الثغرتين اسم PHP2Shell، ورقمهما الرسمي CVE-2026-109618 وCVE-2026-109619. وببساطة، تسمح هاتان الثغرتان لأي شخص يعرف كيفية استغلالهما بالاختراق دون كلمة مرور للأنظمة التي تعمل بـ PHP، مثل المواقع أو الخوادم الموجهة للإنترنت، والوصول إلى بياناتها أو تعديلها.
من حيث خطورة الحدث، فإن هذه الحادثة كبيرة جدًا، مما أجبر ملايين الأشخاص حول العالم على إجراء تحديثات عاجلة للنظام قبل أن يستغلها القراصنة الخبيثون.
أصدرت PHP Foundation، المسؤولة عن صيانة برامج الويب PHP، يوم الأربعاء تصحيحًا أمنيًا يمنع الخوادم المتصلة بالشبكة من التعرض للهجمات بعد التثبيت. وقد سبق أن قدمت المؤسسة مسبقًا وصولًا مبكرًا إلى التصحيح لبعض أكبر شركات الإنترنت ومزودي استضافة المواقع الذين يعتمدون على PHP.
بفضل التواصل الخفي على مدار عدة أسابيع والتنسيق الحذر داخل الصناعة، تجنب العالم بشكل عام الاستغلال الواسع للإنترنت. بدءًا من الأربعاء، بدأت الحكومات في حث المواطنين والشركات التي تمتلك مواقع ويب على اتخاذ إجراءات للحد من مخاطرها. وأغلقت البنوك وتجار التجزئة ومواقع الألعاب والمحلات الإلكترونية والمستشفيات وبعض المؤسسات الحكومية خوادمها لمنع الهجمات.
لكن الباحثين في الأمن يحذرون من أن الأمور لم تنتهِ، ولا يزال هناك عدد كبير من الأنظمة حول العالم غير مُصلحة، مما يجعلها عرضة للاختراق وسرقة البيانات.
من المرجح أيضًا أن هذه ليست آخر أزمة برمجية كبرى على الإنترنت. يتوقع بعض الخبراء أن ظهور الذكاء الاصطناعي سيكتشف بسرعة مزيد من الثغرات التي لم تُكتشف بعد، والتي تنتظر الظهور والاستغلال.
What happened?
اكتشف باحثون أمنيون من Calif ثغرتين في PHP، وهي لغة برمجة تُستخدم على نطاق واسع عالميًا لبناء المواقع الإلكترونية وتطبيقات الويب، سواء على الإنترنت أو في الأنظمة المضيفة محليًا على الشبكات الداخلية للشركات، مثل الشبكات الداخلية والمواقع الداخلية.
تم اكتشاف هذين الثغرتين لأول مرة في عام 2024، لكنهما لم تُعتبرا قابلتين للاستغلال في ذلك الوقت، وبالتالي لم يتم إصلاحهما. وجد باحثو الأمن مؤخرًا طرقًا لاستغلالهما، فحذّروا مطوري البرنامج ضرورة إصلاحهما في أسرع وقت ممكن.
أبلغت كاليف مؤسسة PHP، والتي بدأت على الفور بإصلاح الثغرة وتنسيق الإفصاح. ووفرت المؤسسة للمؤسسات الكبرى فرصة لتثبيت التصحيح مسبقًا من خلال تقديم المعلومات والتصحيحات خلال فترة سرية صارمة — أي الحفاظ على السرية حتى تاريخ نهائي محدد.
Why are these vulnerabilities so severe?
يُعد PHP2Shell خطيرًا لأنه يمكن استغلاله عن بُعد عبر الإنترنت، دون الحاجة إلى أن ينقر الضحية على رابط أو يفتح ملفًا. يُعرف هذا باسم تنفيذ التعليمات البرمجية عن بُعد، وهو أحد أكثر أنواع الثغرات تدميرًا، لأنه يمكن للمخترقين في أي مكان في العالم التحكم شبه الكامل في الأنظمة المتأثرة وغير المُصححة.
الأسوأ من ذلك، أن هذه الثغرات المحددة في PHP تسمح للمهاجمين باختراق أي نظام غير مُصلح عبر الإنترنت دون الحاجة إلى كلمة مرور أو أي بيانات اعتماد أخرى، وهو ما يُعرف بالوصول غير المُعتمد.
سيمكن هذا القراصنة الضارين من زرع برامج خبيثة على الكمبيوتر، مثل سرقة البيانات، أو مجرد الحفاظ على نقطة دخول طويلة الأمد للعودة لاحقًا.
لماذا تتأثر 70% من صفحات الويب؟
PHP هي مجرد واحدة من العديد من التقنيات القديمة التي لا تزال تعمل بشكل صحيح، والتي صمدت أمام تطورات الإنترنت المتعددة وتكرارات الأجيال، وهي الآن منتشرة في كل مكان، وكأنها الغراء الذي يدعم معظم عمل الإنترنت. في كثير من الأحيان، تم تطوير هذه الأدوات من قبل متطوعين مفتوحي المصدر الذين لا يتقاضون أجراً على هذا العمل، وبالتالي لا يستطيعون تحمل تكاليف التدقيق الأمني من طرف ثالث – لكن الشركات لا تزال تعتمد على نطاق واسع على هذه المشاريع دون توفير التمويل لها.
Were these vulnerabilities discovered by artificial intelligence?
تم الاعتراف بباحثي الأمن في Calif لاكتشافهم هذه الثغرات أثناء إجراء مراجعة أمنية لرمز PHP في وقت مبكر من هذا العام. شارك Calif في مبادرة "Hack the Planet" التي أطلقتها OpenAI وشركة الأمان السحابي الرائدة Wiz، والتي تحقق لاحقًا في كود الاستغلال التجريبي الذي أنشأه Calif.
في مقال توضيحي لـ CaliF (مصحوبًا برسوم كاريكاتورية - رائعة ومستحقة للقراءة)، شرح الباحثون أن الذكاء الاصطناعي تم استخدامه لدعم استغلال الثغرة، لكن معظم العمل لا يزال يعتمد على المعرفة السابقة للباحثين، وعلى درايتهم بقاعدة كود PHP وتاريخ استغلال الثغرات.
كتب كاليف: "لا يوجد أي نموذج يمكنه اكتشاف 'جميع الثغرات' فقط من خلال تعليمات بسيطة. على الأقل ليس حاليًا."
لماذا تم استغلال هذه الثغرات قبل الإفصاح عنها؟
على الرغم من الجهود المبذولة من جميع الأطراف للحفاظ على سرية تفاصيل الثغرة حتى الأربعاء، يبدو أن بعض الاستغلالات لـ PHP2Shell ظهرت قبل إصدار التصحيح.
بسبب حجمها الكبير ووضوحها العالي، تمتلك أمازون رؤية كبيرة تجاه التهديدات الإلكترونية. أفادت الشركة في مقالة مدونة أنها رصدت علامات استغلال PHP2Shell قبل أسبوع تقريبًا من إصدار التصحيح الخاص بـ PHP، مما يشير إلى أن شخصًا ما في مكان ما كان يعرف بالفعل كيفية استغلال هذه الثغرات قبل نشر تفاصيلها على نطاق واسع. وأوضحت أمازون أنه لا يزال غير واضح كيف تمكن القراصنة من معرفة هذه الثغرات، لكن يجب على المدافعين العودة إلى 17 أكتوبر للبحث عن أدلة على الاستغلال.
هناك عدة روايات حول تفاصيل الحدث. بمجرد إصلاح الثغرة، قد تصبح تفاصيل التصحيح واضحة على الفور، خاصة في كود مفتوح المصدر مثل PHP، حيث يمكن لأي شخص الاطلاع عليه علنًا. قد لا يكون استغلال هذه الثغرات سهلًا، لكن معرفة مكان الثغرة وكيفية إصلاحها قد تساعد القراصنة الخبيثين على تحديد الأهداف والاستفادة من كود الاستغلال.
قد يكون السبب أيضًا تسريبًا في مكان ما خلال فترة الحظر، أو انقطاع في التواصل. إن مجتمع مفتوح المصدر كبير جدًا، والتحكم في المعلومات بهذه الطريقة يعتمد على نية جميع الأطراف والتعاون.
كما قد يكون القراصنة اكتشفوا هذه الثغرات بشكل مستقل مسبقًا، أو تعرفوا عليها من خلال أنشطة تجسس.
أشار الباحثون إلى أن جعل هذه الثغرات قابلة للاستغلال فعليًا يتطلب جهدًا كبيرًا، حيث ظل تسلح الثغرات تحديًا دائمًا – لكنه ليس مستحيلًا – وهو ما يفسر لماذا لم نرَ بعد سيناريوهات استغلال واسعة النطاق.
انقطاع واسع النطاق على الإنترنت، لكنه قيد الاستعادة. هل تجنبنا أسوأ السيناريوهات؟
من المبكر جدًا إصدار استنتاجات الآن، لكن لا توجد حتى الآن علامات على استغلال واسع النطاق، وهو ما يُعد على الأقل إشارة مشجعة — رغم أننا لم نخرج بعد تمامًا من منطقة الخطر.
قال ماثيو 프ينس، الرئيس التنفيذي لشركة Cloudflare، المتخصصة في الأمن السيبراني والرصد، هذا الأسبوع إن الشركة لاحظت زيادة هائلة في عدد المحاولات المستغلة للثغرات بعد الإفصاح عنها. وهذا يشير أيضًا إلى السرعة التي يحاول بها المهاجمون استغلال هذه العيوب لتحقيق مكاسب شخصية.
يُستخدم PHP ليس فقط على خوادم الويب، بل أيضًا في تطوير الأدوات وحزم سطر الأوامر والواجهات النصية، بالإضافة إلى مكونات البرمجيات الأخرى المستخدمة في الموجهات وأجهزة التخزين وأجهزة الأمان المؤسسية مثل جدران الحماية وشبكات VPN.
من المتوقع أن تستمر استغلالات PHP2Shell في الظهور لاحقًا، نظرًا لأن فرق تكنولوجيا المعلومات الأصغر وتطويري المستقلين قد يحدّثون ببطء أكبر. في الوقت نفسه، تحتاج العديد من الشركات التي تدمج PHP في منتجاتها وبرمجياتها الخاصة إلى التحديث، مما سيستغرق فترة انتقالية.
مع تقدم تحديث المزيد من الأجهزة والأنظمة، سيتقلص سطح الهجوم تدريجيًا. لكن التأثيرات المتسلسلة لهذه الثغرات قد تستمر لسنوات عديدة، خاصة في الأنظمة القديمة التي لا يمكن تحديثها.
Will this happen again?
خلال سنوات عملي كصحفي أمني، كان هذا يومًا نادرًا وكافيًا لإيقاف الإنترنت. في عام 2016، هاجمت شبكة ضخمة من الروبوتات شركة Dyn، مزود تسجيل الإنترنت، بهجمات تدفق ضخمة، مما أدى إلى تعطيل شبه كامل لخدمات مواقع الويب الرائدة. في عام 2017، استخدمت كوريا الشمالية أدوات قرصنة أمريكية مسربة لاختراق النظام الصحي البريطاني ونشر برامج فدية. وفي عام 2024، تسبب تحديث غير موثوق لـ CrowdStrike في تعطل عالمي واسع النطاق، أدى إلى انهيار معظم أجهزة الكمبيوتر التي تعمل بنظام Windows في وقت واحد حول العالم.
من جميع النواحي، تجنب الإنترنت يومًا могًا أن يكون مؤلمًا ودمارًا بشكل كبير بفضل PHP2Shell. لكن من غير المرجح أن يكون هذا آخر حدث كبير يؤثر على الشبكة، وقد يكون هذا بداية سلسلة من الأحداث التي تستغل ثغرات التقنيات القديمة. ويعود ذلك إلى حد كبير إلى العيوب الجوهرية في البرمجيات القديمة ولكنها شائعة جدًا، والتي لم تُكتشف بعد، بالإضافة إلى أن أدوات الذكاء الاصطناعي جعلت اكتشاف الثغرات أسهل.
تُصنف PHP وغيرها من لغات وتقنيات برمجة الويب التي تعود إلى عقود سابقة على أنها برامج "غير آمنة من حيث الذاكرة"، مما يعني أنها قد تتعرض لهجمات من فئة كاملة من الثغرات تؤدي إلى تسريب أو تجاوز بيانات حساسة من تخزين الذاكرة. وتشير وكالة الأمن القومي الأمريكية إلى أن حوالي 75% من الثغرات التي يتم استغلالها بنشاط تستغل عيوبًا مرتبطة بالذاكرة، أي أن القراصنة يستخدمون هذه الثغرات بشكل متكرر.
هذا دفع الصناعة إلى التحول نحو استخدام لغات آمنة من حيث الذاكرة، مثل Python وRust وSwift، التي لا تُستغل بسهولة مثل ثغرات الذاكرة. وبالتالي، فإن هذه اللغات مقاومة إلى حد كبير للثغرات العديدة التي لا تزال تؤثر على أسلافها.
لكن هذا لا يزال يترك جزءًا كبيرًا من الإنترنت يعمل بـ PHP ووسائط وkodeks الفيديو ومكتبات الضغط، وغيرها من البرمجيات التي يعود تاريخها إلى عقود مضت — وعندما تتعطل هذه التقنيات، فإنها تؤثر بشكل كبير على الشبكة بأكملها.