تسلط ثغرتان أمنيتان خطيرتان في لغة البرمجة "بي إتش بي" (PHP) الضوء على المخاطر التي قد تنشأ عند ظهور عيوب في المكونات الأساسية التي تعتمد عليها مواقع الإنترنت، ففي 21 أكتوبر/تشرين الأول الحالي، أعلن فريق تطوير بي إتش بي إصدار تحديثات أمنية لمعالجة ثغرتين تتيحان، إذا نجح استغلالهما، تنفيذ شفرات برمجية عن بعد على خوادم معرضة للخطر، حتى من دون امتلاك المهاجم حسابا أو تسجيل الدخول إلى الموقع، وصنّفت وكالة الأمن السيبراني السنغافورية الثغرتين ضمن المخاطر الحرجة، داعية المؤسسات إلى تحديث أنظمتها فورا.
وتكتسب القضية أهميتها من انتشار لغة بي إتش بي في تشغيل مواقع وتطبيقات ويب كثيرة، لكن هذا الانتشار لا يعني أن جميع المواقع التي تعتمد عليها معرضة للاختراق، إذ يتوقف الخطر الفعلي على إصدار اللغة المستخدم، ومدى توافر الإصلاح الأمني وتثبيته، وطبيعة بيئة التشغيل والإعدادات المرتبطة بها.
أُطلق اسم "بي إتش بي تو شيل" (PHP2Shell) على الثغرتين اللتين تحملان المعرّفين (CVE-2026-109618) و(CVE-2026-109619)، وتكمن خطورتهما في وجودهما في آليات عمل بيئة تشغيل بي إتش بي نفسها، وليس بالضرورة في الشفرات البرمجية التي يكتبها مطورو المواقع. ووفقا لفريق بي إتش بي والوكالة السنغافورية للأمن السيبراني، حصلت كل ثغرة على تقييم 9.2 من 10 وفق الإصدار الرابع من نظام التقييم المشترك للثغرات الأمنية "سي في إس إس" (CVSS).
ترتبط الثغرة الأولى، (CVE-2026-109618)، بخلل في التعامل مع حالات نفاد الذاكرة، فعندما تواجه بي إتش بي حالة لا تتوافر فيها ذاكرة كافية لمواصلة معالجة الطلب، قد تتوقف العملية بصورة استثنائية قبل اكتمال تهيئة بعض البيانات الداخلية، وإذا تعاملت إجراءات تنظيف الطلب لاحقا مع هذه البيانات غير المكتملة كما لو كانت سليمة، فقد ينشأ مسار يسمح بتنفيذ شفرة ضارة.
أما الثغرة الثانية، (CVE-2026-109619)، فترتبط بما يعرف بمشكلة استخدام الذاكرة بعد تحريرها (Use-After-Free). وتحدث هذه المشكلة عندما تستمر أجزاء من البرنامج في الإشارة إلى مساحة من الذاكرة سبق تحريرها، بدلا من التعامل مع بيانات صالحة ومهيأة على نحو صحيح. وفي ظروف معينة، قد تستفيد معالجة لاحقة للطلبات من هذه الحالة غير السليمة، بما يفتح المجال أمام استغلال الخلل.
يبدأ الخطر عندما يرسل المهاجم طلبا مصمما لاستثارة الخلل في بيئة بي إتش بي المتأثرة، وقد يؤدي ذلك إلى اضطراب في إدارة الذاكرة أو في الحالة الداخلية لعملية المعالجة، ثم استغلال هذا الاضطراب للتأثير في سير تنفيذ البرنامج، وإذا نجح الهجوم في تحقيق ما يعرف بتنفيذ الشفرات البرمجية عن بعد (Remote Code Execution)، فقد يتمكن المهاجم من تشغيل أوامر ضمن الصلاحيات الممنوحة للعملية التي تشغّل الخادم.
وتكمن إحدى النقاط المقلقة في إمكانية وقوع الهجوم، في بعض بيئات التشغيل، قبل تنفيذ شفرات التطبيق نفسه، لذلك لا يكفي الاعتماد على نظام تسجيل الدخول في الموقع لمنع الاستغلال، وأوضحت شركة داتادوغ (Datadog)، في تحليل أمني نشرته، أن المصادقة على مستوى التطبيق لا تمنع الهجوم في الحالات التي تعالج فيها بي إتش بي الطلب الخبيث قبل وصوله إلى منطق التطبيق.
وقد تشمل النتائج المحتملة تشغيل أدوات ضارة، أو الوصول إلى بيانات حساسة تستطيع عملية بي إتش بي الوصول إليها، أو زرع ملفات تتيح للمهاجم العودة إلى الخادم لاحقا، أو التمهيد للانتقال إلى أنظمة أخرى داخل الشبكة، غير أن هذه النتائج ليست حتمية في كل حالة، إذ تعتمد على نجاح الاستغلال، والصلاحيات المتاحة للعملية، وإعدادات الخادم، كما أن وجود ثغرة في النظام لا يثبت، بحد ذاته، أن الموقع تعرض للاختراق بالفعل.
لا تقتصر المخاطر على موقع واحد، فاستغلال خادم يستضيف تطبيقا حساسا قد يعرض بياناته للخطر، أو يسمح باستخدام موارده في أنشطة ضارة، بحسب الصلاحيات التي يحصل عليها المهاجم. وقد تمتد الآثار إلى الخدمات المرتبطة بالخادم إذا كانت الشبكة تفتقر إلى العزل المناسب، وأشارت وكالة الأمن السيبراني السنغافورية، في تحديث نشرته في 23 أكتوبر/تشرين الأول الحالي، إلى رصد محاولات استغلال واسعة النطاق، وحذّرت المؤسسات من تأخير تطبيق الإصلاحات.
وفي سياق آخر، برز دور الذكاء الاصطناعي في اكتشاف العيوب البرمجية وتحليلها. ووفقا لتحليل نشرته شركة إيلاستيك (Elastic)، ساعدت نماذج متقدمة للذكاء الاصطناعي باحثين في شركة ويز (Wiz) على اكتشاف الثغرتين، قبل التنسيق مع فريق بي إتش بي للإفصاح عنهما وإتاحة الإصلاحات، ويشير ذلك إلى قدرة هذه النماذج على مساعدة الباحثين في تحليل الشفرات البرمجية، واكتشاف أنماط الأخطاء المعقدة، وتسريع اختبار الفرضيات الأمنية.
لكن هذه القدرة لا تقتصر على الاستخدام الدفاعي، إذ يمكن للمهاجمين أيضا الاستفادة من الأدوات نفسها في تحليل الثغرات وتطوير وسائل لاستغلالها. لذلك، لا يمثل الذكاء الاصطناعي ضمانة للأمان في حد ذاته، بل أداة تتحدد نتائجها بحسب طريقة استخدامها، ومدى دقة الاختبارات، وسرعة معالجة العيوب المكتشفة.
يوصي فريق بي إتش بي بتحديث الأنظمة إلى الإصدارات التي تتضمن الإصلاحات الأمنية، وهي PHP 8.5.12 و8.4.27 و8.3.36 و8.2.35، بحسب الفرع المستخدم، أما الإصدارات الأقدم التي لم تعد تتلقى تحديثات مباشرة من المشروع، فينبغي لمشغليها التحقق من توافر إصلاحات أمنية خلفية يقدمها مزودو الأنظمة، أو الانتقال إلى إصدار مدعوم.
وتشمل إجراءات الحماية العملية ما يلي:
وتبرز أهمية المتابعة المستمرة في أن فريق بي إتش بي نشر، في 23 أكتوبر/تشرين الأول الحالي، تحذيرا إضافيا بشأن ثغرة أخرى تحمل المعرف (CVE-2026-115560)، لا تشملها التحديثات التي نشرت في 21 أكتوبر/تشرين الأول. وتتطلب هذه الثغرة، بحسب التحذير، تركيبة غير شائعة من إعدادات بي إتش بي وسلوك التطبيق. ويوصي الفريق بتعطيل ميزة تتبع تقدم رفع الملفات مؤقتا في الحالات ذات الصلة، إلى حين صدور إصلاح مناسب.
