أصدرت PHP في 21 أكتوبر تحديثات أمنية لمعالجة ثغرتين خطيرتين تُعرفان باسم PHP2Shell، تتيحان الاستيلاء على الخوادم من دون تصريح، ما دفع حكومات ومؤسسات إلى إيقاف مواقع إلكترونية. تؤثر الثغرتان في إصدارات PHP 8.5.12 و8.4.27 و8.3.36 و8.2.35، التي تشغّل مجتمعةً نحو 70% من المواقع التي تفصح عن لغة البرمجة المستخدمة على خوادمها. وأفاد الرئيس التنفيذي لشركة Cloudflare، ماثيو برينس، برصد ملايين محاولات الاستغلال عقب الكشف العلني عن الثغرات، بينما ذكرت الهيئة الاتحادية الألمانية لأمن المعلومات (BSI) والحكومة اليابانية أنهما لم تؤكدا وقوع أي اختراق ناجح. وكشفت مؤسسة PHP أنها رصدت أولى مؤشرات إحدى الثغرتين في عام 2024، لكنها أخّرت إصلاحها بسبب صعوبات في اتخاذ القرار ومحدودية الموارد.
PHP تصدر تحديثات للإصدارات 8.5.12 و8.4.27 و8.3.36 و8.2.35
أصدرت PHP الإصدارات 8.5.12 و8.4.27 و8.3.36 و8.2.35 يوم الأربعاء، وفقاً لملاحظات الإصدار. وقالت المؤسسة: «لا توجد إجراءات تخفيف كاملة، والتحديث هو الخيار الآمن الوحيد». وحتى يوم الخميس، لم تصدر PHP أي تحديث لاحق. لم تعد الإصدارات 8.1 وما قبلها تتلقى إصدارات رسمية، إلا أن الفريق الأمني في PHP نشر تحديثات للإصدارات 7.4 و8.0 و8.1 للمستخدمين الذين يبنون البرنامج بأنفسهم. ويتعين على شركات الاستضافة وأقسام تقنية المعلومات ومالكي المواقع تثبيت التحديثات يدوياً، ثم إعادة تشغيل البرنامج لتفعيل الإصلاحات.
Cloudflare ترصد ملايين محاولات الاستغلال
أفاد الرئيس التنفيذي لشركة Cloudflare، ماثيو برينس، بأن شبكتها رصدت آلاف محاولات الاستغلال خلال الساعات العشر السابقة للإعلان العلني. وقفز عدد المحاولات إلى عشرات الآلاف خلال الدقائق الـ45 التالية للكشف، ثم إلى مئات الآلاف في غضون ساعتين، وملايين المحاولات بعد ذلك. وذكرت أمازون أن خوادمها الوهمية سجلت محاولة استغلال في 17 أكتوبر، أي قبل أربعة أيام من الإعلان عن الثغرات. وكتب مسؤول أمن المعلومات في أمازون، سي جيه موزس: «لا يزال من غير الواضح كيف حصل المهاجم على معلومات الاستغلال قبل الكشف»، مضيفاً أن PHP2Shell «تُستغل الآن على نطاق واسع في الواقع».
ألمانيا واليابان تقولان إنهما لم تؤكدا وقوع اختراقات
قال توماس كاسبرز، نائب رئيس الهيئة الاتحادية الألمانية لأمن المعلومات (BSI)، إن الهيئة رصدت هجمات، لكنها لم ترصد استغلالاً ناجحاً للثغرات، مضيفاً: «يبدو أن استغلالها أعقد قليلاً مما كان متوقعاً». وأكد كبير أمناء مجلس الوزراء الياباني، مينورو كيهارا، أيضاً عدم التحقق من وقوع هجمات استغلت الثغرات.
مؤسسة PHP تكشف أوجه قصور في إجراءاتها الأمنية عام 2024
ذكرت مؤسسة PHP في تدوينة نشرتها يوم الأربعاء أن عملها الأمني في عام 2024 «كشف أولى مؤشرات مشكلة نفاد الذاكرة وراء CVE-2026-109618»، في إشارة إلى الخطأ الناجم عن نفاد الذاكرة، الذي يكمن وراء إحدى الثغرتين. ووفقاً للمؤسسة، طوّر الفريق «عدة أساليب متنافسة» لمعالجة المشكلة، لكنه «واجه صعوبة في الاختيار بينها وخشي عواقب اعتماد الخيار الخاطئ». وكتبت المؤسسة: «لن نتظاهر بغير ذلك: كان التأخير إخفاقاً هيكلياً، سببه كل من آلية اتخاذ القرار لدى الفريق الأمني ونقص موارده». وكان الفريق الأمني يشترط الإجماع سابقاً، لكنه سيعتمد الآن التصويت بالأغلبية.
مؤسسات توقف مواقعها بعد الكشف عن الثغرات
نصح المركز الوطني للأمن السيبراني في المملكة المتحدة المؤسسات بالتفكير في «إيقاف النظام عن العمل إلى حين التمكن من تطبيق إجراءات تخفيف كاملة». وشملت المواقع التي أُوقفت يوم الأربعاء خدمات ويكيميديا، ومواقع وتطبيقات Orange في عشرات البلدان، و32 خدمة حكومية بريطانية، ومستشفيات هولندية، ومزود خدمات تقنية المعلومات الاتحادي في ألمانيا ITZBund، وفقاً لموقع TechRadar. وعاد موقع مكتب مسؤولية الميزانية في المملكة المتحدة وموقع مجلس مدينة إدنبرة إلى العمل بحلول يوم الخميس. وظل موقع Meld Misdaad Anoniem الهولندي للإبلاغ عن الجرائم من دون الكشف عن الهوية متوقفاً صباح الخميس، وفقاً لموقع DutchNews.
شركات الأمن توصي بتدقيق الخوادم وتغيير بيانات الاعتماد
نصحت شركة الأمن Tag1 المسؤولين بفحص ملفات PHP التي لم يحمّلها مستخدمون مخولون، ومراجعة المهام المجدولة والحسابات الجديدة، وتغيير كلمات مرور قواعد البيانات ومفاتيح API على الخوادم المتصلة بالإنترنت التي شغّلت إصدارات معرضة للخطر. وأحصت شركة الأمن Mallory نحو 884,000 مضيف متصل بالإنترنت يشغّل إصدارات PHP لم تعد تتلقى إصلاحات رسمية. ونصحت أمازون المدافعين: «ينبغي ألا يفترضوا أن تاريخ الكشف العلني هو أقدم تاريخ للاستغلال»، ودعت إلى فحص أي خادم يشغّل إصداراً معرضاً للخطر منذ 17 أكتوبر على الأقل.
الأسئلة الشائعة
ما إصدارات PHP التي تلقت تحديثات أمنية في 21 أكتوبر؟
أصدرت PHP الإصدارات 8.5.12 و8.4.27 و8.3.36 و8.2.35 يوم الأربعاء لمعالجة ثغرات PHP2Shell. وقالت PHP إن التحديث هو الخيار الآمن الوحيد، إذ لا تتوفر إجراءات تخفيف كاملة.
كم بلغ عدد محاولات الاستغلال التي رصدتها Cloudflare بعد الكشف عن PHP2Shell؟
أفاد الرئيس التنفيذي لشركة Cloudflare، ماثيو برينس، برصد آلاف المحاولات خلال الساعات العشر السابقة للإعلان، وعشرات الآلاف خلال الدقائق الـ45 التالية للكشف، ومئات الآلاف في غضون ساعتين، وملايين المحاولات بعد ذلك.
ما المؤسسات التي أوقفت مواقعها بعد الكشف عن ثغرة PHP؟
وفقاً لموقع TechRadar، شملت الجهات التي أوقفت مواقعها يوم الأربعاء خدمات ويكيميديا، ومواقع وتطبيقات Orange في عشرات البلدان، و32 خدمة حكومية بريطانية، ومستشفيات هولندية، ومزود خدمات تقنية المعلومات الاتحادي في ألمانيا ITZBund.
