مؤسسة PHP تصدر تحديثات أمنية عاجلة لثغرتين خطيرتين
كشفت مؤسسة PHP عن ثغرتين خطيرتين تشكلان تهديداً كبيراً لملايين المواقع الإلكترونية. ويحذر خبراء الأمن من أن التأخر في تركيب التحديثات اللازمة لهذه العيوب قد يؤدي إلى عواقب وخيمة.
في 20 أكتوبر، أصدر مطورو لغة البرمجة PHP واسعة الانتشار تحديثات أمنية طارئة لمعالجة هاتين الثغرتين اللتين قد تتيحان للمهاجمين السيطرة عن بُعد على الأنظمة المتأثرة. وتؤثر الثغرتان، المعروفتان بالمعرّفين CVE-2026-109618 وCVE-2026-109619، في جميع نسخ PHP التي تخدم طلبات الويب بدءاً من الإصدار 5 الذي صدر في يوليو 2004. لكن الإصدارين 8.2 وما بعدهما فقط ما زالا مدعومين وسيحصلان على التحديثات، بينما قد تتوفر بعض الإصلاحات للإصدارات القديمة من موردين خارجيين.
أكدت مؤسسة PHP أنه لا توجد معالجات كاملة لهاتين الثغرتين، وقالت: «التحديث هو الخيار الآمن الوحيد». ويحذر خبراء الأمن من أن تجاهل الأنظمة غير المحدّثة قد يؤدي إلى عواقب وخيمة.
وقال لوكاش أولينيك، مستشار أمني مستقل وباحث أول زائر في كينغز كوليدج لندن: «هذه ليست تدريباً». وأشار إلى الدور المحوري الذي تؤديه PHP في تطوير الويب، إذ تشكل جزءاً أساسياً من منصات عدة، منها WordPress وMagento. ونوّه أولينيك إلى أن تأثير هاتين الثغرتين قد يكون هائلاً، وقد يطال ملايين الأنظمة.
وتتصاعد المخاوف من أن يستغل قراصنة خبيثون هاتين الثغرتين قبل تركيب التحديثات. وأفادت Cloudflare بأنها رصدت هجمات مبكرة تظهر حتى قبل أن تنشر مؤسسة PHP تفاصيل الثغرتين وإصلاحاتهما. وحذرت شركة الأمن Sansec من أن هجمات واسعة النطاق قد تبدأ بعد وقت قصير من إصدار التحديثات.
ووصف دافي أوتنهايمر، مستشار أمن وامتثال، الثغرتين بأنهما أشبه بباب أمامي بلا قفل، يتيح للمهاجمين استغلال أي خادم يجدونه دون الحاجة إلى معرفة محددة بالموقع أو البرنامج.
وتوقعاً لهذه التحديثات، اتخذت بعض المؤسسات إجراءات احترازية بإخراج مواقعها الإلكترونية من الخدمة. وأشارت تقارير إلى تعذر الوصول إلى عدة مواقع حكومية فنلندية، منها هيئة المساحة الوطنية، إضافة إلى مواقع حكومية فرنسية وموقع ميناء روتردام.
وحثّ أولينيك على تركيب التحديثات فوراً، قائلاً إن الاستغلال قد يحدث بسرعة وعلى نطاق واسع، خصوصاً بمساعدة أدوات الذكاء الاصطناعي. وادّعت شركة الأمن Wiz المملوكة لـ Google أن باحثيها اكتشفوا الثغرتين جزئياً باستخدام الذكاء الاصطناعي، بينما أفادت OpenAI وشركة الأمن Calif أيضاً باكتشاف مستقل للثغرتين.
تتيح الثغرتان لمهاجمين غير مصادق عليهم تنفيذ تعليمات برمجية على الخوادم المتأثرة أو الوصول إلى ذاكرة العمليات الحساسة التي قد تحتوي على كلمات مرور ورموز مصادقة. وكانت مؤسسة PHP قد نبّهت المستخدمين إلى الثغرتين أول مرة في 20 أكتوبر، مشيرة إلى أن العيبين حصلا على تقييم حرج بلغ 9.2 من 10 وفق نظام تقييم الثغرات الشائع (CVSS).
وأشارت مؤسسة PHP في تحذير سابق إلى أنها ستطلق الإصلاحات في وقت أبكر إذا ظهرت أدلة على استغلال فعلي. وأفادت تقارير بأن بعض تفاصيل الثغرتين ربما تسربت قبل الإعلان الرسمي.
وربما أتاح التحذير المبكر من مؤسسة PHP لبعض المطورين وفرق الأمن الاستعداد للتحديثات. ونصحت فرقة الاستجابة للطوارئ الحاسوبية التابعة للاتحاد الأوروبي (EU-CERT) ووكالة الأمن السيبراني الأسترالية فرق تقنية المعلومات بالاستعداد لتحديث أنظمتها فوراً. كما نشر المركز الوطني للأمن السيبراني في المملكة المتحدة (NCSC) تنبيهاً يحث المؤسسات على الاستعداد لتحديثات فورية والنظر في إخراج الأنظمة من الخدمة إذا لم يكن الإصلاح ممكناً.
وأوصى المركز الوطني للأمن السيبراني المؤسسات بتحديد الأنظمة التي تعمل بـ PHP ومراقبتها بحثاً عن أي استغلال محتمل. وتتضمن الخطوة التالية تطبيق تحديثات PHP فور توفرها والبقاء في حالة تأهب لتنبيهات شركات البرمجيات التي قد تستخدم PHP في تطبيقاتها.
وأشار بريت ليذرمان، مساعد مدير الأمن السيبراني في مكتب التحقيقات الفيدرالي (FBI)، إلى أنه إذا رُصدت علامات اختراق فعلى المؤسسات عزل الأنظمة المتأثرة والحفاظ على السجلات للتحقيق.
المصدر: WIRED