أكدت وكالة الأمن السيبراني وأمن البنية التحتية الأمريكية (CISA) تعرض ثغرتين بالغتي الخطورة في لغة البرمجة PHP للاستغلال الفعلي النشط من قبل جهات هجومية، وذلك بعد إدراجهما رسميًا في قائمة الثغرات المعروفة التي يتم استغلالها فعليًا (KEV)، في خطوة تعكس حجم التهديد الذي تمثله هذه الثغرات على ملايين الخوادم والمواقع الإلكترونية حول العالم.
وتحمل الثغرتان المعرفين CVE-2026-109618 وCVE-2026-109619، وقد حصلتا على درجة خطورة بلغت 9.2 من 10 وفق نظام التقييم CVSS، نظراً لقدرتهما على تمكين تنفيذ التعليمات البرمجية عن بُعد دون الحاجة إلى مصادقة مسبقة، ما يمنح المهاجمين إمكانية السيطرة على الأنظمة المتأثرة من خارج الشبكة.
استغلال فعلي يرفع مستوى التهديد
جاء قرار CISA بإضافة الثغرتين إلى قائمة الثغرات المستغلة فعليًا بعد ظهور أدلة عملية على نجاح هجمات استغلال حقيقية. فقد أكد عادل كريمي، قائد فريق الاكتشاف والاستجابة لدى شركة Perplexity، تسجيل حالات ناجحة لتنفيذ تعليمات برمجية عن بُعد ضد أنظمة استدراج أمنية (Honeypots) في 24 أكتوبر 2026.
وأوضح كريمي أن الأمر لم يعد مجرد أعطال أو انهيارات في التطبيقات كما كان يُعتقد في المراحل الأولى من التحليل، بل أصبح استغلالًا فعليًا يؤدي إلى كشف الذاكرة وتنفيذ أوامر قابلة للاستخدام. وأشار إلى أن إحدى الهجمات أسفرت عن استخراج محتوى ضخم من ملفات تعريف الارتباط بعد فك تشفيرها، إضافة إلى الحصول على مؤشرات ذاكرة استُخدمت لاحقًا لتنفيذ الحمولة الهجومية.
ورغم أن الاختبارات أُجريت في بيئة تشغيل مواتية عمدًا لنجاح الهجوم، فإن نتائجها قدمت دليلاً واضحًا على أن سلسلة الاستغلال أصبحت واقعية وقابلة للتطبيق في ظروف معينة، وهو ما دفع الجهات الحكومية والأمنية إلى رفع مستوى التحذير.
طبيعة ثغرات PHP2Shell وتأثيرها العالمي
تتمثل الثغرة الأولى CVE-2026-109618 في خلل مرتبط بفساد الذاكرة الناتج عن نفادها، بينما تنشأ الثغرة الثانية CVE-2026-109619 من حالة داخلية قديمة لطلبات المعالجة، وكلتاهما تسمحان بتنفيذ تعليمات برمجية عن بُعد دون الحاجة إلى تسجيل دخول أو امتلاك صلاحيات مسبقة.
وتكتسب هذه الثغرات خطورتها من الانتشار الواسع للغة PHP التي تعد إحدى أكثر تقنيات تطوير تطبيقات الويب استخدامًا في العالم. وتشير التقديرات إلى أن ما يقرب من 70% من مواقع الإنترنت تعتمد على PHP بشكل أو بآخر، سواء عبر الأنظمة المخصصة أو من خلال أنظمة إدارة المحتوى الشهيرة.
ووفقًا لبيانات منصة Censys، لا يزال أكثر من 32.5 مليون خدمة PHP تعمل بإصدارات معرضة للخطر، الأمر الذي يفتح المجال أمام موجات واسعة من محاولات الاختراق والاستغلال خلال الفترة المقبلة، خاصة بعد نشر تفاصيل تقنية وأدوات استغلال عامة تساعد المهاجمين على تنفيذ الهجمات.
تحديثات عاجلة ومهلة قصيرة للجهات الفيدرالية
تمت معالجة الثغرات رسميًا ضمن الإصدارات PHP 8.5.12 وPHP 8.4.27 وPHP 8.3.36 وPHP 8.2.35 التي أطلقت في 21 أكتوبر 2026.
وفي ضوء خطورة الوضع، منحت السلطات الأمريكية الجهات الفيدرالية مهلة حتى 29 أكتوبر 2026 لتطبيق التحديثات الأمنية اللازمة، وهو جدول زمني يعكس القلق المتزايد من احتمالية توسع عمليات الاستغلال خلال فترة قصيرة.
كما أصدرت عشرات المؤسسات والشركات العالمية تحذيرات وإرشادات أمنية لعملائها بعد تقييم مدى تأثر منتجاتها بالثغرتين. وشملت التحذيرات جهات تقنية وصناعية كبرى من بينها Citrix وDell وHuawei وIBM وIvanti وMitel وMoxa وNetgear وOkta وQNAP وRockwell Automation وSalesforce وSiemens وSonicWall وSplunk وSynology وVeeam وWordPress، إلى جانب العديد من الشركات الأخرى العاملة في قطاعات الاتصالات والصناعة والبنية التحتية الرقمية.
ويؤشر هذا العدد الكبير من التنبيهات إلى الانتشار العميق لمكونات PHP داخل المنتجات المؤسسية والمنصات السحابية وأنظمة التحكم الصناعية، الأمر الذي يزيد من احتمالات التأثر المباشر أو غير المباشر بالثغرتين.
ظهور تهديد جديد مرتبط بمكتبة Brotli
بالتوازي مع أزمة PHP2Shell، أعلنت مؤسسة PHP أيضًا عن إصدار نسخ محدثة من حزم PHP الخاصة بنظام ويندوز لمعالجة ثغرة إضافية تحمل المعرف CVE-2026-111497، والمعروفة بأسماء Broccoli2Shell وHTTP2Shell وNode2Shell.
وترتبط هذه الثغرة بمكتبة Brotli المستخدمة لضغط البيانات، حيث تسمح بحدوث كتابة خارج حدود الذاكرة، وهو خلل يمكن أن يؤدي إلى رفع الصلاحيات أو تنفيذ تعليمات برمجية عن بُعد دون مصادقة.
وتؤثر المشكلة على عدة إصدارات من مكتبة Brotli، كما تمتد تداعياتها إلى عدد من المشاريع واسعة الانتشار التي تعتمد هذه المكتبة، ومنها Node.js وBun وEnvoy Proxy وIstio و.NET وPython.
وأوضحت مؤسسة PHP أن الإصدارات الخاصة بنظام ويندوز قد تكون معرضة لهذا الخلل عبر امتداد cURL عندما يتم تفعيل خاصية فك ضغط استجابات HTTP تلقائيًا. ورغم أن هذه الميزة تكون معطلة افتراضيًا، فإن بعض التطبيقات ومكتبات الاتصال قد تقوم بتفعيلها يدويًا، ما يزيد من احتمالات التعرض للخطر في بعض البيئات التشغيلية.
وتعكس هذه التطورات تصاعد المخاطر المرتبطة بسلاسل الاستغلال متعددة المراحل التي تستهدف المكونات الأساسية للبنية التحتية للويب، في وقت يتسابق فيه مشغلو المواقع ومزودو الخدمات السحابية ومراكز البيانات لتطبيق التحديثات الأمنية قبل اتساع نطاق الهجمات واستهداف مزيد من الأنظمة المكشوفة على الإنترنت.
