رقمنة
كاد الإنترنت أن يواجه أزمة واسعة يوم الأربعاء، بعدما كُشفت إمكانية استغلال ثغرتين أمنيتين خطيرتين في تقنية PHP، إحدى أقدم تقنيات تطوير مواقع الويب وأكثرها انتشارًا.
وظلت الثغرتان كامنتين لسنوات، قبل أن يكتشف باحثون أمنيون مؤخرًا طريقة لاستغلالهما، ما دفع شركات ومؤسسات حول العالم إلى الإسراع بتحديث أنظمتها قبل أن يستغلهما القراصنة.
وتُعرف الثغرتان باسم PHP2Shell، وتحملان الرقمين التعريفيين CVE-2026-109618 وCVE-2026-109619.
وببساطة، تتيحان للمهاجمين الذين يعرفون كيفية استغلالهما اختراق أنظمة متصلة بالإنترنت تعمل بتقنية PHP، مثل المواقع الإلكترونية والخوادم، دون الحاجة إلى كلمة مرور، مع إمكانية الوصول إلى البيانات أو تعديلها، بحسب تقرير نشره موقع “تك كرانش” واطلعت عليه “العربية Business”.
وأجبرت خطورة الموقف ملايين المستخدمين والمؤسسات حول العالم على التحرك سريعًا لتحديث أنظمتهم، في محاولة لاحتواء المخاطر قبل أن تتحول الثغرات إلى وسيلة لهجمات واسعة النطاق.
وأعلنت مؤسسة PHP، المسؤولة عن صيانة التقنية وتطويرها، إتاحة تحديثات أمنية لمعالجة الثغرتين يوم الأربعاء.
كما كانت المؤسسة قد أتاحت معلومات الإصلاح مسبقًا لبعض كبرى شركات الإنترنت واستضافة المواقع، لمنحها وقتًا إضافيًا لتأمين أنظمتها قبل الإعلان العام.
وبفضل أسابيع من التنسيق غير المعلن بين الجهات المعنية، تمكن العالم حتى الآن من تجنب موجة اختراقات واسعة النطاق.
لكن الأزمة دفعت حكومات إلى مطالبة الأفراد والشركات التي تدير مواقع إلكترونية باتخاذ إجراءات عاجلة، فيما أوقفت مؤسسات في قطاعات متعددة خدماتها مؤقتًا لتحديث خوادمها، شملت بنوكًا ومتاجر إلكترونية وشركات ألعاب ومستشفيات وجهات حكومية.
ومع ذلك، يحذر باحثون في الأمن السيبراني من أن الخطر لم ينتهِ، إذ لا تزال أعداد كبيرة من الأنظمة حول العالم غير محدثة ومعرضة للاختراق وسرقة البيانات.
كما يرجح خبراء أن تتكرر مثل هذه الأزمات، خصوصًا مع تطور أدوات الذكاء الاصطناعي التي قد تساعد على اكتشاف ثغرات أمنية جديدة في برمجيات قديمة لم تُكتشف نقاط ضعفها بعد.
ماذا حدث بالضبط؟
اكتشف باحثون أمنيون في شركة Calif ثغرتين في PHP، وهي لغة برمجة تُستخدم على نطاق واسع لتطوير المواقع الإلكترونية وتطبيقات الويب، سواء على الإنترنت أو داخل الشبكات الخاصة بالمؤسسات، مثل الشبكات الداخلية وأنظمة العمل المؤسسية.
وتتميز PHP بأنها مفتوحة المصدر، ما يعني أن استخدامها متاح مجانًا للجميع تقريبًا، الأمر الذي ساعدها على التحول إلى واحدة من أكثر لغات برمجة الويب انتشارًا.
وكانت الثغرتان قد اكتُشفتا للمرة الأولى في عام 2024، لكنهما لم تُعتبرا قابلتين للاستغلال آنذاك، ولذلك لم تُعالجا بتحديثات أمنية.
وفي وقت لاحق، توصل باحثون إلى طريقة لاستغلالهما، ما دفعهم إلى إبلاغ الجهات المسؤولة عن تطوير PHP لبدء إصلاح المشكلة.
وأخطرت شركة Calif مؤسسة PHP، التي شرعت في معالجة الثغرتين والتنسيق مع الجهات المعنية للإعلان عنهما بطريقة منظمة.
ولتحقيق ذلك، وضعت المؤسسة تفاصيل الثغرات والتحديثات الإصلاحية تحت حظر نشر مشدد، بحيث تظل سرية حتى موعد محدد.
وكان الهدف منح الشركات الكبرى فرصة لتحديث أنظمتها قبل أن تصبح المعلومات متاحة للجميع، بما في ذلك المهاجمون المحتملون.
لماذا تُعد ثغرتا PHP2Shell خطيرتين إلى هذا الحد؟
تكمن خطورة PHP2Shell في إمكانية استغلالها عن بُعد عبر الإنترنت، دون الحاجة إلى إقناع الضحية بالضغط على رابط أو فتح ملف.
ويُعرف هذا النوع من الهجمات باسم “تنفيذ التعليمات البرمجية عن بُعد، وهو من أخطر أنواع الثغرات الأمنية، لأنه قد يمنح المهاجم سيطرة واسعة على النظام المصاب الذي لم يحصل على التحديثات اللازمة.
وتزداد الخطورة لأن الثغرتين تتيحان الوصول إلى الأنظمة غير المحمية دون الحاجة إلى كلمة مرور أو أي بيانات اعتماد أخرى، وهو ما يُعرف باسم “الوصول دون مصادقة”.
وبمجرد اختراق النظام، يستطيع المهاجم تثبيت برمجيات خبيثة على الخادم أو الجهاز المستهدف، بهدف سرقة البيانات أو إنشاء موطئ قدم دائم يسمح له بالعودة إلى النظام لاحقًا ومواصلة الهجوم.
وهذا يعني أن المشكلة لا تقتصر على تعطيل موقع إلكتروني، بل قد تمتد إلى كشف بيانات حساسة، أو اختراق أنظمة داخلية، أو استغلال الخادم في هجمات أخرى.
لماذا تأثر نحو 70% من مواقع الإنترنت؟
تنبع خطورة الثغرتين أيضًا من الانتشار الواسع لتقنية PHP، التي أصبحت شائعة بفضل كونها مجانية وسهلة الاستخدام نسبيًا، فضلًا عن وجودها منذ عقود.
ووفقًا للتقديرات الواردة في التقرير، يعتمد نحو 70% من مواقع الإنترنت المتصلة بالخوادم على PHP بدرجات مختلفة، رغم تراجع استخدامها تدريجيًا خلال السنوات الماضية لمصلحة لغات برمجة أحدث.
وتشمل الأنظمة التي تعتمد على PHP منصات واسعة الانتشار مثل WordPress، إلى جانب Drupal وJoomla وMediaWiki، وهي البرمجية التي تشغّل موسوعة ويكيبيديا الإلكترونية.
وتكشف الأزمة عن مشكلة أوسع تواجه البنية التحتية للإنترنت؛ إذ لا تزال خدمات ومواقع كثيرة تعتمد على تقنيات قديمة، لكنها أصبحت جزءًا أساسيًا من طريقة عمل الشبكة العالمية.
وغالبًا ما تتولى تطوير هذه الأدوات وصيانتها مجتمعات مفتوحة المصدر، تضم مطورين لا يتقاضى بعضهم أجرًا مقابل عملهم، ولا يملكون الموارد اللازمة لإجراء مراجعات أمنية مستقلة وشاملة.
وفي الوقت نفسه، تعتمد عليها شركات كبرى لا تقدم بالضرورة مساهمات مالية لدعم مشروعاتها.
ويؤدي هذا الوضع إلى مفارقة واضحة: تقنيات أساسية تشغّل أجزاء واسعة من الإنترنت، لكنها قد لا تحصل على الموارد الكافية لاكتشاف الثغرات الأمنية ومعالجتها بالسرعة المطلوبة.
هل استخدم الذكاء الاصطناعي لاكتشاف الثغرات؟
نُسب اكتشاف الثغرتين إلى باحثين في شركة Calif خلال مراجعة أمنية لشيفرة PHP في وقت سابق من العام الجاري.
وكانت الشركة تشارك في مبادرة “Hack the Planet”، التي أطلقتها “OpenAI”، المطورة لنماذج الذكاء الاصطناعي، بالتعاون مع شركة Wiz المتخصصة في أمن الحوسبة السحابية.
وتولت الجهات المشاركة لاحقًا التحقق من إثباتات المفهوم التي أعدها باحثو “Calif” لإظهار إمكانية استغلال الثغرات.
وأوضح الباحثون في تقرير تقني نشرته الشركة، وتضمن رسومًا توضيحية، أنهم استعانوا بالذكاء الاصطناعي للمساعدة في عملية استغلال الثغرات، لكن الجزء الأكبر من العمل اعتمد على خبراتهم السابقة ومعرفتهم العميقة بشيفرة PHP وتاريخ استغلال الثغرات فيها.
وكتب فريق “Calif” أن أي نموذج ذكاء اصطناعي لا يستطيع، بمجرد تلقي تعليمات بسيطة، اكتشاف جميع الثغرات الأمنية، على الأقل في الوقت الحالي.
وتوضح هذه الواقعة أن الذكاء الاصطناعي يمكن أن يساعد الباحثين في اكتشاف نقاط الضعف وتحليلها، لكنه لا يلغي الحاجة إلى الخبرة البشرية والمعرفة التقنية المتخصصة.
وفي المقابل، تثير هذه القدرات مخاوف من إمكانية استخدام الأدوات نفسها من جانب القراصنة لتسريع البحث عن ثغرات جديدة وتطوير أساليب لاستغلالها.
لماذا استُغلت الثغرات قبل الإعلان عنها رسميًا؟
على الرغم من الجهود الرامية إلى إبقاء تفاصيل الثغرتين سرية حتى الأربعاء، ظهرت مؤشرات على وقوع محاولات استغلال قبل إتاحة التحديثات الأمنية للجمهور.
وقالت شركة أمازون، التي تمتلك قدرة واسعة على رصد التهديدات الإلكترونية بفضل حجم خدماتها وانتشارها، إنها رصدت محاولات لاستغلال PHP2Shell قبل نحو أسبوع من إتاحة التحديثات الإصلاحية.
ويشير ذلك إلى أن جهة ما كانت تعرف كيفية استغلال الثغرتين قبل نشر تفاصيلهما على نطاق واسع.
وأوضحت “أمازون” أنها لم تتمكن من تحديد كيفية حصول المهاجم على المعلومات، لكنها دعت فرق الدفاع السيبراني إلى البحث عن مؤشرات اختراق تعود إلى 17 أكتوبر.
وتوجد عدة تفسيرات محتملة لما حدث.
أحدها أن نشر التحديثات قد يكشف تفاصيل الثغرات نفسها، خصوصًا عندما تكون الشيفرة المصدرية مفتوحة ومتاحة للفحص، كما هو الحال مع PHP. فبمجرد مقارنة الشيفرة قبل التحديث وبعده، يمكن للباحثين والمهاجمين تحديد موضع الخلل وفهم كيفية إصلاحه، ثم محاولة تطوير أساليب لاستغلال الأنظمة التي لم تحصل على التحديث.
ومن المحتمل أيضًا حدوث تسريب للمعلومات أو خلل في التنسيق خلال فترة حظر النشر، إذ تعتمد هذه العملية على تعاون عدد كبير من الجهات والالتزام بعدم الكشف المبكر عن التفاصيل.
وهناك احتمال آخر يتمثل في أن يكون القراصنة قد اكتشفوا الثغرات بصورة مستقلة، أو حصلوا على معلومات عنها من خلال عمليات تجسس.
وألقت مؤسسة PHP باللوم على شركة دفعت التحديثات إلى النشر قبل انتهاء فترة حظر الإعلان بساعات، وهو ما ربما منح بعض المهاجمين فرصة مبكرة لفهم تفاصيل الإصلاح. لكن هذه الفرضية لا تفسر وحدها نشاط الاستغلال الذي رصدته أمازون قبل أسبوع من إتاحة التحديثات.
ويشير الباحثون إلى أن تحويل الثغرات إلى أدوات اختراق عملية يتطلب جهدًا تقنيًا كبيرًا، وهو ما قد يفسر عدم ظهور موجة استغلال جماعي واسعة حتى الآن، رغم أن تنفيذ الهجمات يظل ممكنًا.
لكن في وقت متأخر من يوم الجمعة، أعلنت شركتا الأمن السيبراني “بالو ألتو” و”Trail of Bits” رصد حالات اختراق مؤكدة وأنشطة ضارة مرتبطة بالثغرة بعد استغلالها. ويعني ذلك أن الخلل استُخدم بالفعل لاختراق هدف لم تُكشف هويته بعد، وتنفيذ أنشطة خبيثة داخله.
عودة المواقع والخدمات.. هل تجنب الإنترنت الأسوأ؟
لا تزال الأزمة في مراحلها الأولى، لكن غياب مؤشرات واضحة على استغلال جماعي واسع النطاق يُعد علامة مشجعة. ومع ذلك، لا يمكن اعتبار الخطر قد انتهى.
وقال ماثيو برينس، الرئيس التنفيذي لشركة Cloudflare المتخصصة في أمن الشبكات ومراقبتها، إن الشركة رصدت ارتفاعًا أُسّيًا في محاولات استغلال الثغرتين بعد الكشف عنهما.
ويعطي هذا التصاعد مؤشرًا على السرعة التي يتحرك بها المهاجمون لاستغلال الثغرات فور الإعلان عنها، خصوصًا عندما تكون الأنظمة المصابة منتشرة على نطاق واسع.
ولا تقتصر تقنية PHP على خوادم المواقع الإلكترونية، بل تدخل أيضًا في أدوات تطوير البرمجيات وحزم سطر الأوامر والطرفية، ومكونات أخرى مستخدمة في أجهزة التوجيه ووحدات التخزين وأجهزة أمن المؤسسات، مثل الجدران النارية والشبكات الخاصة الافتراضية (VPN).
ومن المتوقع استمرار محاولات الاستغلال خلال الفترة المقبلة، خصوصًا أن فرق تقنية المعلومات الصغيرة والمطورين المستقلين قد يحتاجون إلى وقت أطول لتحديث أنظمتهم. كما يتعين على الشركات التي تدمج PHP في منتجاتها وبرمجياتها الخاصة تحديث تلك المنتجات أيضًا، وهو ما قد يطيل أمد الأزمة.
ومع حصول مزيد من الأجهزة والأنظمة على التحديثات الأمنية، ستتقلص تدريجيًا مساحة الأنظمة المعرضة للهجوم.
لكن الآثار المترتبة على الثغرتين قد تستمر لسنوات، لا سيما في الأنظمة القديمة التي لم تعد تتلقى تحديثات أو لا تتيح إمكانية ترقيتها.
هل تتكرر أزمة مماثلة في المستقبل؟
وصف التقرير الواقعة بأنها واحدة من تلك الأيام النادرة التي تكشف مدى قدرة خلل تقني واحد على تهديد استقرار الإنترنت، مستعيدًا أزمات أمنية وتقنية سابقة.
ففي عام 2016، تسبب هجوم واسع نفذته شبكة من الأجهزة المخترقة، عُرفت باسم “بوت نت”، في إغراق شركة Dyn المتخصصة في خدمات نظام أسماء النطاقات بحركة مرور زائفة، ما أدى إلى تباطؤ عدد كبير من أشهر خدمات الإنترنت.
وفي عام 2017، استخدمت كوريا الشمالية أدوات اختراق حكومية أميركية مسربة لنشر برمجيات الفدية داخل النظام الصحي البريطاني.
أما في عام 2024، فتسبب تحديث معيب من شركة CrowdStrike في انقطاع عالمي واسع، أدى إلى تعطل أعداد كبيرة من أجهزة الكمبيوتر العاملة بنظام ويندوز.
وبالنظر إلى أزمة PHP2Shell، يبدو أن الإنترنت تجنب حتى الآن سيناريو كان يمكن أن يتسبب في أضرار واسعة، لكن الواقعة قد تكون مؤشرًا على موجة جديدة من الحوادث التي تستهدف نقاط الضعف في التقنيات القديمة.
ويرتبط هذا الخطر بوجود ثغرات متوارثة في برمجيات لا تزال مستخدمة على نطاق واسع، إلى جانب أدوات الذكاء الاصطناعي التي قد تسهّل اكتشاف نقاط ضعف لم تكن معروفة سابقًا.
وتنتمي PHP، مثل عدد من لغات البرمجة وتقنيات الويب القديمة، إلى فئة البرمجيات التي لا توفر ضمانات كافية لسلامة التعامل مع الذاكرة، وهو ما يُعرف باسم “عدم أمان الذاكرة”.
ويمكن أن يؤدي هذا النوع من التصميم إلى فئات من الثغرات تسمح للبرمجيات بتسريب بيانات حساسة أو الوصول إلى أجزاء غير مسموح بها من الذاكرة.
وتشير تقديرات وكالة الأمن القومي الأميركية إلى أن نحو 75% من الثغرات التي يجري استغلالها بنشاط ترتبط بمشكلات في الذاكرة، ما يوضح مدى شيوع هذا النوع من نقاط الضعف في الهجمات الإلكترونية.
وقد ساهمت هذه المخاطر في تعزيز الاتجاه نحو لغات برمجة أكثر أمانًا في التعامل مع الذاكرة، مثل Python وRust وSwift، التي توفر آليات تقلل من احتمالات وقوع فئات واسعة من الأخطاء المرتبطة بالذاكرة، وإن كانت لا تمنع جميع أنواع الثغرات الأمنية.
لكن التحول إلى التقنيات الأحدث لا يعني اختفاء المشكلة سريعًا، إذ لا تزال أجزاء كبيرة من الإنترنت تعتمد على أدوات قديمة، تشمل PHP وبرمجيات معالجة الصوت والفيديو ومكتبات ضغط البيانات ومكونات أخرى طُورت قبل عقود.
وما دامت هذه التقنيات تؤدي دورًا أساسيًا في تشغيل المواقع والخدمات والأجهزة، فإن اكتشاف خلل خطير فيها قد تكون له تداعيات تتجاوز النظام المصاب، لتصل إلى قطاعات واسعة من الإنترنت والاقتصاد الرقمي.
العربية نت
