دفعت ثغرتان أمنيتان خطيرتان في لغة البرمجة ‏‎«PHP»‎، المستخدمة على نطاق واسع في تشغيل المواقع الإلكترونية، حكومات ‏وشركات حول العالم إلى تعليق بعض خدماتها الرقمية مؤقتاً، وسط تحذيرات من إمكانية استغلال الثغرتين للسيطرة على خوادم ‏المواقع وسرقة بياناتها، فيما رصدت شركة «كلاودفلير» ملايين محاولات الهجوم خلال ساعات من الكشف عن المشكلة.‏

وصدرت التحذيرات عقب اكتشاف ثغرتين تحملان الرمزين ‏‎«CVE-2026-109618»‎‏ و‎«CVE-2026-109619»‎، ويُشار إليهما ‏باسم ‏‎«PHP2SHELL»‎، وتسمحان، في ظروف معينة، للمهاجمين بتنفيذ تعليمات برمجية على الخوادم المتأثرة عن بُعد، دون ‏الحاجة إلى تسجيل الدخول أو امتلاك بيانات اعتماد.‏

وأعلنت مؤسسة ‏‎«PHP»‎‏ إصدار تحديثات أمنية طارئة في 21 أكتوبر، لمعالجة الثغرتين اللتين حصلت كل منهما على درجة خطورة ‏تبلغ 9.2 من أصل 10 وفق مقياس تقييم الثغرات الأمنية ‏‎«CVSS»‎‏ بإصداره الرابع.‏

وتكمن خطورة المشكلة في أنها تصيب مكونات أساسية في محرك تشغيل اللغة نفسه، وليس تطبيقاً أو موقعاً محدداً، ما قد يعرض ‏أنظمة متعددة للخطر حتى في الحالات التي لا تتضمن فيها التطبيقات أخطاء أمنية مباشرة.‏

تُستخدم ‏‎«PHP»‎‏ في تشغيل نحو 69% من المواقع التي أمكن تحديد لغة البرمجة المستخدمة في خوادمها، وفقاً لبيانات موقع ‏‎«W3TECHS»‎‏ المتخصص في إحصاءات تقنيات الإنترنت.‏

وتعتمد عليها أنظمة واسعة الانتشار لإدارة المحتوى، بينها «ووردبريس» و«دروبال» و«جوملا»، ما يوسع نطاق الأنظمة التي ‏تحتاج إلى مراجعة أمنية وتحديثات عاجلة.‏

لكن استخدام ‏‎«PHP»‎‏ لا يعني بالضرورة أن جميع هذه المواقع قابلة للاختراق، إذ يتوقف مستوى الخطر على إصدار البرنامج ‏المستخدم، وطريقة تشغيله، وتثبيت التحديثات الأمنية.‏

وذكرت رويترز أن مؤسسات حكومية وشركات في أوروبا وآسيا أوقفت خدمات إلكترونية بصورة احترازية، شملت مواقع حكومية ‏وخدمات مصرفية ونقل واتصالات.‏

وفي اليابان، علقت مؤسسات من بينها مجموعة «ميتسوبيشي يو إف جي» المالية وشركة الطيران «أول نيبون إيروايز» وبعض ‏خدمات السكك الحديدية خدمات عبر الإنترنت، فيما اتخذت وزارتا المالية وهيئة الأرصاد الجوية إجراءات مماثلة.‏

كما علقت جهات حكومية في فرنسا وهولندا وألمانيا وفنلندا الوصول إلى بعض مواقعها، في حين أوقفت شركة الاتصالات الفرنسية ‏‏«أورانج» الوصول مؤقتاً إلى تطبيقات ومواقع تستخدم اللغة.‏

وقالت الجهة الحكومية المسؤولة عن خدمات تقنية المعلومات في فنلندا إن إعادة تشغيل الأنظمة قد تستغرق أياماً أو أسابيع، نظراً إلى ‏ضرورة اختبار التحديثات قبل إعادة الخدمات إلى العمل، مؤكدة أن عمليات التعطيل كانت احترازية وليست نتيجة اختراق أمني مؤكد.‏

تزامن الكشف عن الثغرتين مع ارتفاع سريع في محاولات استغلالهما، وقال ماثيو برنس، الرئيس التنفيذي لشركة «كلاودفلير»، إن ‏أنظمة الشركة رصدت آلاف المحاولات خلال الساعات العشر السابقة للإعلان العلني، قبل أن تقفز إلى عشرات الآلاف خلال 45 ‏دقيقة، ثم مئات الآلاف خلال ساعتين، لتصل لاحقاً إلى الملايين.‏

وكشفت شركة «أمازون ويب سيرفيسز» عن رصد محاولة لاستغلال الثغرات تعود إلى 17 أكتوبر، أي قبل أربعة أيام من نشر ‏التحديثات الأمنية، عبر أحد خوادمها التجريبية المصممة لاكتشاف الهجمات.‏

وقالت الشركة إن مصدر المحاولة استخدم شبكة لإخفاء عنوان الاتصال الحقيقي، وإنها رصدت لاحقاً محاولات إضافية من مصادر ‏متعددة، لكنها لم تتمكن من تحديد ما إذا كانت تلك المحاولات ستنجح ضد أنظمة حقيقية.‏

ويعني ذلك أن رصد ملايين محاولات الاستغلال لا يمثل دليلاً على اختراق ملايين المواقع أو سرقة بيانات مستخدميها.‏

ونقلت مجلة «وايرد» عن مسؤولة في مؤسسة ‏‎«PHP»‎‏ أن المؤسسة لم تكن على علم، حتى وقت تصريحاتها، بأي حالة مؤكدة نجح ‏فيها مهاجمون في تنفيذ تعليمات برمجية عن بُعد باستخدام الثغرتين ضد أنظمة فعلية.‏

وأقرت مؤسسة ‏‎«PHP»‎‏ بأن المؤشرات الأولى لأحد العيوب البرمجية ظهرت خلال مراجعة أمنية في عام 2024، لكن الفريق ‏المسؤول لم يكن قد حدد آنذاك طريقة عملية واضحة لاستغلاله.‏

وأوضحت أن تطوير إصلاح مناسب تأخر بسبب صعوبة تعديل آليات إدارة الذاكرة دون التأثير في توافق البرامج أو أدائها، إلى جانب ‏محدودية الموارد البشرية المتخصصة.‏

ووصفت المؤسسة التأخير بأنه إخفاق هيكلي يرتبط بطريقة اتخاذ القرارات ونقص الموارد، مشيرة إلى أنها بدأت مراجعة إجراءات ‏التعامل مع البلاغات الأمنية وتسريع تطوير الإصلاحات.‏

الذكاء الاصطناعي يدخل سباق الثغرات

أعاد اكتشاف الثغرتين تسليط الضوء على دور الذكاء الاصطناعي في الأمن السيبراني، بعدما ساعدت نماذج متقدمة باحثين على تحديد ‏طرق عملية لاستغلال عيوب برمجية ظلت دون معالجة لسنوات.‏

وأفادت مؤسسة ‏‎«PHP»‎‏ بأن شركة الأبحاث الأمنية «كاليف» قدمت في 11 أغسطس تقريراً عن إحدى طرق الاستغلال، فيما قدمت ‏شركة «ويز» نتائج إضافية في 24 أغسطس، بمساعدة أدوات تعتمد على الذكاء الاصطناعي.‏

كما شاركت «أوبن إيه آي» في أبحاث وتنسيق الاستجابة الأمنية، ضمن تعاون مع مطوري اللغة وشركات متخصصة في حماية البنية ‏التحتية للإنترنت.‏

وتشير هذه التطورات إلى تحول في طبيعة المخاطر السيبرانية، إذ باتت الأدوات نفسها التي تساعد الباحثين على اكتشاف الثغرات ‏قادرة على تسريع تحليل التحديثات الأمنية وتطوير وسائل لاستغلال الأنظمة التي لم تُحدّث بعد.‏

وحذرت أمازون من تقلص الفترة الزمنية بين الكشف عن الثغرات وظهور محاولات استغلالها، بعدما كانت بعض الهجمات تتطلب ‏سابقاً وقتاً أطول لتطوير أدواتها.‏

حذرت الجهات الأمنية من أن استغلال الثغرتين بنجاح قد يمنح المهاجم صلاحيات تشغيل التعليمات البرمجية المتاحة لخدمة الويب ‏على الخادم، ما قد يتيح الوصول إلى ملفات أو قواعد بيانات أو معلومات حساسة بحسب إعدادات النظام والصلاحيات الممنوحة له.‏

وأصدرت وكالة الأمن السيبراني الأوروبية «إينيسا»، بالتعاون مع جهات أوروبية بينها «يوروبول»، تحذيراً مشتركاً حث المؤسسات ‏على تحديث الأنظمة المعرضة للإنترنت فوراً، والتنسيق مع شركات الاستضافة ومزودي الخدمات.‏

وأوصى المركز الوطني البريطاني للأمن السيبراني المؤسسات التي لا تستطيع تطبيق الإصلاحات فوراً بالنظر في عزل الأنظمة ‏المتأثرة أو تعليق تشغيلها لحين تأمينها.‏

وتشمل الإصدارات المصححة ‏‎«PHP 8.5.12»‎‏ و«8.4.27» و«8.3.36» و«8.2.35»، بينما تحتاج الأنظمة التي تعمل ‏بإصدارات قديمة لم تعد مدعومة إلى الانتقال لإصدارات آمنة أو الحصول على إصلاحات معتمدة من مورديها.‏

ويرى خبراء أمنيون أن التحدي الأكبر لا يقتصر على إصدار التحديثات، بل يمتد إلى ضمان وصولها إلى المواقع الصغيرة والأنظمة ‏القديمة والخدمات التي تعتمد على مكونات برمجية لا يراقبها أصحابها بانتظام.‏

وتسلط الأزمة الضوء على اعتماد قطاعات واسعة من الاقتصاد والخدمات الحكومية على برمجيات مفتوحة المصدر، وعلى الفجوة ‏بين سرعة اكتشاف الثغرات باستخدام الذكاء الاصطناعي وقدرة المؤسسات على معالجة أنظمتها قبل تعرضها للهجوم.‏