كشفت تقارير أمنية جديدة عن تصاعد خطير في استغلال ثغرات PHP2Shell الحرجة، حيث تمكن مهاجمون من اختراق جهة حكومية أوروبية والاستفادة من منصات الذكاء الاصطناعي الوكيلة (Agentic AI) لتنفيذ عمليات ما بعد الاختراق بوتيرة سريعة وممنهجة. وتأتي هذه التطورات بالتزامن مع حملات مسح عالمية واسعة النطاق تستهدف خوادم PHP غير المحدثة، وسط مؤشرات متزايدة على تورط جهات مرتبطة بكوريا الشمالية في عمليات الاستطلاع والتحضير لهجمات مستقبلية.
ووفقًا لشركة الأمن السيبراني Palo Alto Networks Unit 42، فإن المهاجمين استغلوا الثغرتين CVE-2026-109618 وCVE-2026-109619، وهما من أخطر الثغرات المكتشفة مؤخرًا في بيئة PHP، لتنفيذ سلسلة من الأنشطة الهجومية المتقدمة التي شملت سرقة بيانات اعتماد حساسة ومحاولات تصعيد صلاحيات داخل الشبكات المستهدفة.
اختراق جهة حكومية خلال ساعات من الاستغلال
أوضحت Unit 42 أن إحدى أخطر الحوادث التي تم رصدها استهدفت مؤسسة حكومية في أوروبا، حيث تمكن المهاجمون خلال أقل من ساعتين من بدء عملية الاستغلال من الوصول إلى بصمات كلمات المرور (Password Hashes) وأسرار المصادقة متعددة العوامل (MFA Secrets).
كما نجح المهاجمون في إنشاء قناة NTLM Relay نحو بيئة Active Directory، قبل الشروع في محاولات للحصول على امتيازات مدير النطاق (Domain Admin)، وهو ما كان سيفتح الباب أمام السيطرة الكاملة على البنية التحتية الرقمية للمؤسسة المستهدفة.
والأكثر إثارة للاهتمام أن المحققين الأمنيين لاحظوا سلوكًا مختلفًا عن الأنماط التقليدية للهجمات البشرية. فقد أظهرت الأوامر المنفذة على الأنظمة المصابة تنظيمًا وهيكلية تشير إلى استخدام وكلاء ذكاء اصطناعي لإدارة مراحل ما بعد الاختراق.
وشملت الأنشطة التي تم تنفيذها عمليات استطلاع موجهة لقواعد بيانات المصادقة باستخدام بيانات اعتماد مسروقة، إلى جانب البحث عن كلمات المرور وأسرار المصادقة الثنائية. كما أجريت عمليات استعلام LDAP مجهولة الهوية باستخدام أداة curl بهدف تحديد حسابات المسؤولين داخل Active Directory.
ورصد الباحثون كذلك عمليات مسح دقيقة للنظام المضيف بحثًا عن ارتباطات DNS وActive Directory والأجهزة الداخلية والمجموعات ذات الامتيازات المرتفعة والمستخدمين المتصلين بالنظام.
ومن العلامات اللافتة للنظر أن الأوامر كانت منظمة داخل أقسام تحمل عناوين مثل “SHELLUSER” و”PASSWD”، وهي صيغة تجعل المخرجات قابلة للمعالجة آليًا من قبل نماذج الذكاء الاصطناعي، ما يعزز فرضية وجود وكيل آلي يتلقى المعلومات ويحللها لاتخاذ خطوات هجومية لاحقة بشكل شبه مستقل.
مؤشرات على حملة مرتبطة بكوريا الشمالية
بالتوازي مع هذه الحوادث، أعلنت شركة CYFIRMA عن اكتشاف حملة استهداف نشطة يُعتقد أنها مرتبطة بجهات كورية شمالية، تستخدم ثغرات PHP2Shell لاستكشاف البنية التحتية العالمية المعتمدة على PHP.
ووفقًا للتحليل، اعتمدت الحملة على 21 عقدة مخترقة لتنفيذ عمليات مسح منخفضة الكثافة وموزعة بعناية لتجنب أنظمة الكشف التقليدية. وتعمد المهاجمون تدوير العقد المستخدمة والتخلي عنها فور ظهور أي مؤشرات على الحظر أو التقييد، ما يجعل اكتشاف النشاط عبر أدوات المراقبة التقليدية أكثر صعوبة.
وكشفت التحقيقات عن قائمة تضم 216 نظامًا غير محدث أو محدثًا جزئيًا موزعة على الولايات المتحدة واليابان وكوريا الجنوبية وتايلاند وإندونيسيا وأستراليا وتايوان والهند وسنغافورة والإمارات العربية المتحدة والسعودية وعدد من دول الاتحاد الأوروبي.
وتشمل القطاعات المستهدفة جهات حكومية ومؤسسات مالية وشركات لوجستية ومطارات وشركات طيران ومنشآت صناعية ومنصات معاملات إلكترونية، ما يعكس اهتمام المهاجمين بأهداف ذات قيمة استراتيجية واقتصادية مرتفعة.
وأشارت CYFIRMA إلى أن الاتصالات بين عناصر الحملة كانت تتم عبر قناة مغلقة تعمل على شبكة I2P المجهولة، لافتة إلى وجود أدلة لغوية وسلوكية تربط النشاط بمتحدثين باللغة الكورية الشمالية، يُعتقد أنهم ينشطون ضمن منظومة مجموعة Lazarus الشهيرة.
ويستند هذا التقييم إلى مجموعة من المؤشرات، من بينها استخدام بنى تحكم وسيطرة سبق ربطها بعمليات Lazarus، بالإضافة إلى تاريخ المجموعة الطويل في استهداف خوادم PHP وWordPress وزراعة أبواب خلفية Web Shells داخلها. كما يتوافق استهداف البنوك والجهات الحكومية ومنصات المعاملات الإلكترونية مع أنماط العمليات المالية التي اشتهرت بها المجموعة خلال السنوات الماضية.
ملايين محاولات الاستغلال عالميًا
أثار الكشف العلني عن الثغرتين موجة غير مسبوقة من عمليات الفحص والاستغلال عبر الإنترنت. وأفادت Cloudflare بأنها رصدت ملايين المحاولات الرامية لاستغلال PHP2Shell بعد فترة قصيرة من إعلان تفاصيل الثغرات.
كما رصدت شركة Defused Cyber عمليات استطلاع استهدفت أنظمة Palo Alto Networks GlobalProtect التجريبية التابعة لها، حيث احتوت الطلبات المرسلة على مؤشرات مرتبطة مباشرة بآلية استغلال PHP2Shell، ما يشير إلى محاولات لتحديد الأجهزة القابلة للاختراق وإعداد قوائم أهداف مستقبلية.
وتُعد الثغرتان CVE-2026-109618 وCVE-2026-109619 من الثغرات الحرجة القادرة على تمكين تنفيذ تعليمات برمجية عن بُعد في إعدادات PHP الافتراضية. ويستغل الهجوم طريقة تعامل PHP مع أسماء الحقول داخل الطلبات الواردة، ما يؤدي إلى استنزاف الذاكرة وحدوث فساد في مكونات Heap الداخلية، الأمر الذي يسمح في بعض الظروف بتنفيذ تعليمات ضارة.
وأشارت أبحاث ReliaQuest إلى أن المدافعين يمكنهم اكتشاف محاولات الاستغلال من خلال مراقبة سلسلة متتابعة من الأحداث تشمل ظهور خطأ HTTP 500 عند إرسال طلب POST، يتبعه استنفاد للذاكرة داخل PHP ورسائل فساد Heap وانهيار عملية Apache المسؤولة عن معالجة الطلب.
ثغرة ثالثة وتحذيرات لملايين الأنظمة
زاد المشهد تعقيدًا بعدما حذرت مؤسسة PHP Foundation من ثغرة تنفيذ أوامر عن بُعد ثالثة تحمل الرقم CVE-2026-115560. ورغم أن استغلالها يتطلب ظروفًا وإعدادات محددة وغير شائعة، فإن وجودها يؤكد أن أزمة PHP2Shell قد لا تكون النهاية.
وفي خطوة لمساعدة المؤسسات على تقييم مستوى المخاطر، أطلقت شركة Xint أداة مجانية لفحص الأنظمة وتحديد مدى تعرضها لثغرات PHP2Shell، مؤكدة أن خطر تنفيذ الأوامر عن بُعد قد يمتد إلى أي تطبيق PHP تقريبًا بغض النظر عن نوعه إذا توافرت ظروف معينة داخل بيئة التشغيل.
وتُظهر بيانات شركة Bitsight أن ما يقرب من 37 مليون نظام متصل بالإنترنت يعتمد على PHP أو أحد مكوناته البرمجية، مع تركز العدد الأكبر من هذه الأنظمة في الولايات المتحدة وألمانيا وفرنسا وهولندا واليابان.
ويحذر الخبراء من أن التصدي لهذه الأزمة لا يمكن أن يتم عبر تحديث التطبيقات أو تثبيت إضافات أمنية فقط، لأن جذور المشكلة تكمن داخل بيئة تشغيل PHP نفسها. ولذلك يبقى تحديث نسخة PHP على الخادم هو الإجراء الحاسم لسد الثغرات ومنع استغلالها، خاصة في ظل التحول المتزايد نحو استخدام الذكاء الاصطناعي في أتمتة مراحل الهجوم وتسريع عمليات الاختراق والاستطلاع بشكل يفوق ما كان ممكنًا في الهجمات التقليدية.
