حذّر فريق دروبال، المنصة المفتوحة المصدر لإدارة المحتوى، من أن جهات تهديد تستغل فعلياً ثغرة أمنية وصفها بأنها شديدة الحرج في مكوّن كوميرس كور المخصص للتجارة الإلكترونية. وتأتي هذه التطورات في وقت تواصل فيه موجة هجمات أخرى استهداف تطبيقات الويب عبر ثغرتين خطيرتين في لغة PHP عُرفتا مجتمعتين باسم PHP2Shell، لتضع مسؤولي المواقع وفرق الأمن أمام جبهتين متزامنتين من التهديدات.
ثغرة دروبال كوميرس كور CVE-2026-118539 وطبيعتها
تحمل الثغرة المعرّف CVE-2026-118539، ولم يُمنح لها حتى الآن تقييم رقمي في مقياس كفس. وتندرج ضمن فئة غياب التحقق من الصلاحيات، أي أن النظام لا يتأكد بالقدر الكافي من أحقية المستخدم في الوصول إلى موارد معينة. وبحسب النشرة الأمنية الصادرة عن دروبال، فإن الوحدة لا تحمي بصورة كافية بعض المسارات وحقول الكيانات، ما يفتح الباب أمام تجاوز صلاحيات الوصول، وهو ما قد يترتب عليه ضرر مالي يلحق بالبائع صاحب المتجر.
ويُستخدم مكوّن كوميرس كور في بناء المتاجر الإلكترونية على دروبال، إذ يوفر عربة تسوق ونموذج إتمام الشراء مدمجين، كما يتيح بيع السلع والخدمات عبر تطبيقات منفصلة تتصل بالنظام من خلال واجهات برمجية. وهذا يعني أن الثغرة تمس طبقة حساسة تتعلق بالطلبات والمدفوعات وبيانات العملاء، ما يفسر وصف دروبال لها بأنها شديدة الحرج. وأقرت المنصة بأن الثغرة مستغلة فعلياً في الهجمات، لكنها لم تقدم أي تفاصيل عن طبيعة النشاط الإجرائي أو حجم الحملة أو الجهات المستهدفة.
الإصدارات المتأثرة وخطوات التحديث الموصى بها
تشمل الثغرة إصدارات كوميرس كور من 0.0.0 حتى 2.41، ومن 3.0.0 حتى 3.3.13، وهو نطاق واسع يغطي معظم المتاجر العاملة على هذه الوحدة. وأوصت دروبال المستخدمين بالتحديث إلى أحدث إصدار متاح، فمن يستخدمون الفرع الثالث عليهم الترقية إلى الإصدار 3.3.13، أما أصحاب الإصدارات الأقدم فعليهم الترقية إلى الإصدار 8.x-2.41.
ونسبت دروبال اكتشاف الثغرة والإبلاغ عنها إلى الباحثين دان بوتشيتي ومارکوس يوهانسون وروبرت سنايدر. وفي ظل غياب تفاصيل عن الهجمات، ينصح عادة أصحاب المتاجر المتأثرة بمراجعة سجلات الطلبات والمعاملات بحثاً عن أي نشاط غير معتاد، إلى جانب تثبيت التحديث، لأن الاستغلال قد يكون وقع قبل صدور الإصلاح.
ثغرات PHP2Shell وتراجع نسبة المؤسسات المتأثرة
على صعيد متصل، تشهد ثغرتان حرجتان في لغة PHP تحملان المعرفين CVE-2026-109618 وCVE-2026-109619 محاولات استغلال نشطة، وقد حصلت كل منهما على تقييم كفس بلغ 9.2، وجرى تداولهما معاً تحت اسم PHP2Shell. وبحسب بيانات شركة ويز التابعة لغوغل، تراجعت حتى 25 أكتوبر نسبة المؤسسات المتأثرة بدرجة كبيرة من هذه الثغرات إلى 52.1 في المئة، وهو رقم يبقى مرتفعاً ويدل على أن نصف المؤسسات تقريباً ما زالت معرضة للخطر.
ورصدت ويز نوعين من النشاط حتى الآن. يتمثل الأول في محاولات تستخدم آلية الاستغلال الخاصة بـPHP2Shell وتطابق نماذج الإثبات العملي المنشورة علناً. أما الثاني فيضم أدوات تحمل اسم PHP2Shell لكنها لا ترتبط فعلياً بالثغرتين، إذ تعتمد على تسميم الجلسات وعلى ثغرة منفصلة من نوع تضمين الملفات المحلية في التطبيق المستهدف. وتسميم الجلسات أسلوب يتلاعب فيه المهاجم ببيانات الجلسة المخزنة على الخادم لدفع التطبيق إلى تنفيذ سلوك غير مقصود، بينما تتيح ثغرة تضمين الملفات المحلية إجبار التطبيق على قراءة ملفات من الخادم نفسه.
لماذا يصعب على المهاجمين تحويل الاستغلال إلى أداة موثوقة
أوضح باحثو ويز، وهم يارا شريكي وشاهار دورفمان وألما بلاكسان ويارون صامويل، أن إحداث استنزاف الذاكرة وحده لا يكفي لإكمال سلسلة الاستغلال. فاختلاف إصدارات PHP المبنية وحدود الذاكرة المضبوطة وسلوك عمليات العمل يمكن أن يحول دون نجاح المراحل اللاحقة من الهجوم. ويعني ذلك أن التحدي الذي يواجه المهاجمين الانتهازيين يكمن في تحويل نماذج الإثبات العملي المتاحة للعامة إلى أدوات تشغيلية موثوقة بالدرجة نفسها، أو في تطوير أدوات خاصة بهم من الصفر.
وتفسر هذه الملاحظة جانباً من الفجوة بين كثرة محاولات الاستغلال المرصودة وبين عدد الحالات التي تنتهي باختراق ناجح، إذ تتطلب كل بيئة ضبطاً مختلفاً للهجوم. لكن ذلك لا يعني زوال الخطر، فالمهاجمون ما زالوا يختبرون أدواتهم على نطاق واسع، وكل تحسين في موثوقية الاستغلال قد يرفع نسبة النجاح بسرعة.
