ثغرات PHP2Shell تهدد أمان المواقع وتدفع للاستعجال بالتحديث

إذا كان موقعك أو تطبيقك يعمل بلغة PHP ولم تُحدّث خادمك خلال الأيام الأخيرة، فالأمر عاجل. أكدت وكالة الأمن السيبراني الأمريكية (CISA) أن مهاجمين يستغلون فعلياً ثغرتين حرجتين في اللغة، وأمرت الوكالات الفيدرالية المدنية الأمريكية بإصلاح الأنظمة المتأثرة خلال ثلاثة أيام. الثغرتان تتيحان الوصول إلى الأنظمة الضعيفة عن بُعد عبر الإنترنت، من دون كلمة مرور.

ما هي ثغرات PHP2Shell؟

تُعرف الثغرتان باسم PHP2Shell. وتسمح كلٌّ منهما لأي طرف على الإنترنت بالوصول إلى نظام معرّض للخطر من دون أن يعرف كلمة المرور. وتزداد خطورة ذلك بالنظر إلى انتشار اللغة، إذ يُقال إن PHP تعمل على نحو 70% من الخوادم المتصلة بالويب.

الاستغلال الفعلي يرفع احتمالات الاختراق الخبيث وتعطيل الخدمات وتسريب البيانات. وقد سارعت جهات حكومية وشركات كبرى إلى إخراج بعض مواقعها من الخدمة لمعالجة الثغرتين.

أصدرت الوكالة تحذيرها يوم الاثنين 26 أكتوبر 2026 عبر تنبيه رسمي بشأن الثغرات المستغلة. لكنها لم تذكر في بيانها أي تفاصيل عن الجهة التي تستغل الثغرتين.

هل كان التحذير متأخراً؟

الأرجح أن المهاجمين سبقوه. فقد أفاد باحثون بوجود أدلة على استغلال ثغرات PHP قبل تحذير الوكالة، ونشروا أدلة على استغلال PHP2Shell في تقرير يحمل تاريخ 24 أكتوبر 2026.

وقد أصدر القائمون على صيانة PHP الترقيعات اللازمة للثغرتين قبل أقل من أسبوع من تحذير الوكالة. أي أن الحل متاح، والمطلوب من كل جهة تشغّل مواقع بهذه اللغة هو تثبيته، ولو لم يشملها أمر الوكالة. فالأمر يُلزم الوكالات الفيدرالية المدنية الأمريكية وحدها، أما بقية المؤسسات، ومنها المؤسسات العربية، فتتحمل المخاطر نفسها.

لماذا بقيت الثغرتان بلا ترقيع عامين؟

اكتُشفت الثغرتان قبل نحو عامين، لكنهما ظلتا بلا ترقيع. ووفقاً للمؤسسة غير الربحية التي تتولى صيانة PHP، لم يكن لهما استغلال عملي، فلم تُعامَلا بوصفهما أولوية. وقال باحثون في البداية إن تطوير استغلال فعّال صعب لكنه ممكن.

تغيّر هذا التقدير حين توصّل باحثو شركة الأبحاث الأمنية Calif، في وقت سابق من هذا العام، إلى استغلال للثغرتين بمساعدة نموذج ذكاء اصطناعي. وتكشف الواقعة جانباً مقلقاً: فنماذج الذكاء الاصطناعي قادرة على اكتشاف الثغرات واستغلالها، بما في ذلك ربط عدة ثغرات معاً. وما كان يُصنَّف «صعباً» قبل سنوات قد لا يبقى كذلك مع هذه الأدوات.

من يدفع ثمن البنية القديمة؟

PHP لغة برمجة قديمة لتطوير الويب، وهي إحدى تقنيات عدة متقادمة يقوم عليها الإنترنت والتقنيات الحديثة. والمشاريع مفتوحة المصدر مثلها تعاني منذ سنوات نقص الموارد والتمويل، وهو ما يصعّب إجراء المراجعات الأمنية. وقد أشار تقرير لرويترز عن نقص تمويل مؤسسة PHP إلى أن المؤسسة تعمل بموظف واحد بدوام كامل، بحسب ما قال مديرها.

المفارقة أن شركات وحكومات تبني خدماتها على هذه الأدوات المفتوحة، ثم تجد نفسها أمام إنذار بثلاثة أيام حين تظهر ثغرة بهذا الحجم. والسؤال الذي يبقى مفتوحاً: كم ثغرة أخرى قديمة صُنّفت «غير قابلة للاستغلال عملياً» تنتظر نموذجاً ذكياً يثبت عكس ذلك؟