تأكيد استغلال ثغرات PHP2Shell فعلياً: حدّثوا PHP وراجعوا التعرّض

ما الذي حدث

تم استغلال ثغرتين حرجتين لتنفيذ الأوامر عن بُعد في PHP، هما CVE-2026-109618 وCVE-2026-109619 وتُعرفان معاً باسم PHP2Shell، استغلالاً ناجحاً في العالم الفعلي. رصد ذلك الباحث Adel Karimi من Perplexity عبر مصائد خداعية سجّلت تنفيذاً مؤكداً للأوامر ضد تثبيت Apache mod_php يعمل بإصدار PHP 8.4.26، وأكد النتائج Marcus Hutchins من Expel.

وأشار Karimi إلى أن الدليل جاء من بيئة mod_php مواتية عمداً بعامل واحد، ولا يقيس موثوقية الاستغلال مع أعداد عوامل أخرى أو إصدارات PHP أو تطبيقات مختلفة.

الخلفية

أصدر فريق أمن PHP التصحيحات في 21 أكتوبر. وقد تسرّبت تفاصيل وبعض أكواد إثبات المفهوم قبل ذلك، لكن الفريق ذكر أن أياً منها لم يكن فعالاً. ورصدت شركات أمنية عدة وAmazon Threat Intelligence محاولات قبل الإفصاح، وُصفت كلها بأنها غير ناجحة إلى حين هذا التأكيد. ونشرت CISA قاعدة كشف SIGMA لمحاولات الاستغلال، ولم تكن قد أدرجت الثغرات ضمن المستغَلّة وقت كتابة المصدر.

وعلى صعيد منفصل، نشر فريق PHP إجراءً تخفيفياً لثغرة RCE أخرى هي CVE-2026-115560، لا يتوفر لها تصحيح بعد ولا تُستغل إلا بتركيبة غير معتادة من الإعدادات وشيفرة التطبيق. ويُنصح بضبط session.upload_progress.enabled=0 حتى صدور الإصلاح.

لماذا يهم ذلك

تعمل PHP على نحو 70% من المواقع، وتقدّر VirusTotal وجود أكثر من 5.1 مليون مضيف PHP مكشوف على الإنترنت. ينبغي للجهات اعتبار تطبيقات PHP المواجهة للإنترنت أولوية للتحديث والمراجعة.