وکاله آریا للأنباء - ثغرتان أمنیتان فی لغه البرمجه بی إتش بی، کشفتا عن مخاطر تهدد أمن الخوادم التی تشغّل مواقع الإنترنت (شترستوک)
تسلط ثغرتان أمنیتان خطیرتان فی لغه البرمجه "بی إتش بی" (PHP) الضوء على المخاطر التی قد تنشأ عند ظهور عیوب فی المکونات الأساسیه التی تعتمد علیها مواقع الإنترنت، ففی 21 أکتوبر/تشرین الأول الحالی، أعلن فریق تطویر بی إتش بی إصدار تحدیثات أمنیه لمعالجه ثغرتین تتیحان، إذا نجح استغلالهما، تنفیذ شفرات برمجیه عن بعد على خوادم معرضه للخطر، حتى من دون امتلاک المهاجم حسابا أو تسجیل الدخول إلى الموقع، وصنّفت وکاله الأمن السیبرانی السنغافوریه الثغرتین ضمن المخاطر الحرجه، داعیه المؤسسات إلى تحدیث أنظمتها فورا.
وتکتسب القضیه أهمیتها من انتشار لغه بی إتش بی فی تشغیل مواقع وتطبیقات ویب کثیره، لکن هذا الانتشار لا یعنی أن جمیع المواقع التی تعتمد علیها معرضه للاختراق، إذ یتوقف الخطر الفعلی على إصدار اللغه المستخدم، ومدى توافر الإصلاح الأمنی وتثبیته، وطبیعه بیئه التشغیل والإعدادات المرتبطه بها.
الثغرتان قد تسمحان للمهاجمین بتنفیذ أوامر برمجیه عن بعد على الأنظمه المعرضه للخطر (شترستوک) ما طبیعه ثغرتی "بی إتش بی تو شیل"؟
أُطلق اسم "بی إتش بی تو شیل" (PHP2Shell) على الثغرتین اللتین تحملان المعرّفین (CVE-2026-109618) و(CVE-2026-109619)، وتکمن خطورتهما فی وجودهما فی آلیات عمل بیئه تشغیل بی إتش بی نفسها، ولیس بالضروره فی الشفرات البرمجیه التی یکتبها مطورو المواقع. ووفقا لفریق بی إتش بی والوکاله السنغافوریه للأمن السیبرانی، حصلت کل ثغره على تقییم 9.2 من 10 وفق الإصدار الرابع من نظام التقییم المشترک للثغرات الأمنیه "سی فی إس إس" (CVSS).
ترتبط الثغره الأولى، (CVE-2026-109618)، بخلل فی التعامل مع حالات نفاد الذاکره، فعندما تواجه بی إتش بی حاله لا تتوافر فیها ذاکره کافیه لمواصله معالجه الطلب، قد تتوقف العملیه بصوره استثنائیه قبل اکتمال تهیئه بعض البیانات الداخلیه، وإذا تعاملت إجراءات تنظیف الطلب لاحقا مع هذه البیانات غیر المکتمله کما لو کانت سلیمه، فقد ینشأ مسار یسمح بتنفیذ شفره ضاره.
أما الثغره الثانیه، (CVE-2026-109619)، فترتبط بما یعرف بمشکله استخدام الذاکره بعد تحریرها (Use-After-Free). وتحدث هذه المشکله عندما تستمر أجزاء من البرنامج فی الإشاره إلى مساحه من الذاکره سبق تحریرها، بدلا من التعامل مع بیانات صالحه ومهیأه على نحو صحیح. وفی ظروف معینه، قد تستفید معالجه لاحقه للطلبات من هذه الحاله غیر السلیمه، بما یفتح المجال أمام استغلال الخلل.
کیف یمکن استغلال الثغرات للوصول إلى الخوادم؟
یبدأ الخطر عندما یرسل المهاجم طلبا مصمما لاستثاره الخلل فی بیئه بی إتش بی المتأثره، وقد یؤدی ذلک إلى اضطراب فی إداره الذاکره أو فی الحاله الداخلیه لعملیه المعالجه، ثم استغلال هذا الاضطراب للتأثیر فی سیر تنفیذ البرنامج، وإذا نجح الهجوم فی تحقیق ما یعرف بتنفیذ الشفرات البرمجیه عن بعد (Remote Code Execution)، فقد یتمکن المهاجم من تشغیل أوامر ضمن الصلاحیات الممنوحه للعملیه التی تشغّل الخادم.
وتکمن إحدى النقاط المقلقه فی إمکانیه وقوع الهجوم، فی بعض بیئات التشغیل، قبل تنفیذ شفرات التطبیق نفسه، لذلک لا یکفی الاعتماد على نظام تسجیل الدخول فی الموقع لمنع الاستغلال، وأوضحت شرکه داتادوغ (Datadog)، فی تحلیل أمنی نشرته، أن المصادقه على مستوى التطبیق لا تمنع الهجوم فی الحالات التی تعالج فیها بی إتش بی الطلب الخبیث قبل وصوله إلى منطق التطبیق.
وقد تشمل النتائج المحتمله تشغیل أدوات ضاره، أو الوصول إلى بیانات حساسه تستطیع عملیه بی إتش بی الوصول إلیها، أو زرع ملفات تتیح للمهاجم العوده إلى الخادم لاحقا، أو التمهید للانتقال إلى أنظمه أخرى داخل الشبکه، غیر أن هذه النتائج لیست حتمیه فی کل حاله، إذ تعتمد على نجاح الاستغلال، والصلاحیات المتاحه للعملیه، وإعدادات الخادم، کما أن وجود ثغره فی النظام لا یثبت، بحد ذاته، أن الموقع تعرض للاختراق بالفعل.
إحدى الثغرتین ترتبط بخلل فی التعامل مع حالات نفاد الذاکره، بینما تتعلق الأخرى باستخدام الذاکره بعد تحریرها (شترستوک) تداعیات الثغرات ودور الذکاء الاصطناعی
لا تقتصر المخاطر على موقع واحد، فاستغلال خادم یستضیف تطبیقا حساسا قد یعرض بیاناته للخطر، أو یسمح باستخدام موارده فی أنشطه ضاره، بحسب الصلاحیات التی یحصل علیها المهاجم. وقد تمتد الآثار إلى الخدمات المرتبطه بالخادم إذا کانت الشبکه تفتقر إلى العزل المناسب، وأشارت وکاله الأمن السیبرانی السنغافوریه، فی تحدیث نشرته فی 23 أکتوبر/تشرین الأول الحالی، إلى رصد محاولات استغلال واسعه النطاق، وحذّرت المؤسسات من تأخیر تطبیق الإصلاحات.
وفی سیاق آخر، برز دور الذکاء الاصطناعی فی اکتشاف العیوب البرمجیه وتحلیلها. ووفقا لتحلیل نشرته شرکه إیلاستیک (Elastic)، ساعدت نماذج متقدمه للذکاء الاصطناعی باحثین فی شرکه ویز (Wiz) على اکتشاف الثغرتین، قبل التنسیق مع فریق بی إتش بی للإفصاح عنهما وإتاحه الإصلاحات، ویشیر ذلک إلى قدره هذه النماذج على مساعده الباحثین فی تحلیل الشفرات البرمجیه، واکتشاف أنماط الأخطاء المعقده، وتسریع اختبار الفرضیات الأمنیه.
لکن هذه القدره لا تقتصر على الاستخدام الدفاعی، إذ یمکن للمهاجمین أیضا الاستفاده من الأدوات نفسها فی تحلیل الثغرات وتطویر وسائل لاستغلالها. لذلک، لا یمثل الذکاء الاصطناعی ضمانه للأمان فی حد ذاته، بل أداه تتحدد نتائجها بحسب طریقه استخدامها، ومدى دقه الاختبارات، وسرعه معالجه العیوب المکتشفه.
کیف یمکن حمایه المواقع من الاستغلال؟
یوصی فریق بی إتش بی بتحدیث الأنظمه إلى الإصدارات التی تتضمن الإصلاحات الأمنیه، وهی PHP 8.5.12 و8.4.27 و8.3.36 و8.2.35، بحسب الفرع المستخدم، أما الإصدارات الأقدم التی لم تعد تتلقى تحدیثات مباشره من المشروع، فینبغی لمشغلیها التحقق من توافر إصلاحات أمنیه خلفیه یقدمها مزودو الأنظمه، أو الانتقال إلى إصدار مدعوم.
وتشمل إجراءات الحمایه العملیه ما یلی:
حصر الأنظمه المعرضه للخطر : التحقق من إصدار بی إتش بی المستخدم فی الخوادم والحاویات والتطبیقات التابعه، بما فیها المکونات التی قد لا تکون ظاهره لمدیر الموقع. تثبیت التحدیثات الأمنی ه: إعطاء الأولویه للخوادم المتصله بالإنترنت، وعدم الاکتفاء بتحدیث نظام إداره المحتوى إذا بقیت بیئه بی إتش بی نفسها دون إصلاح. تقلیل التعرض للهجمات: عزل الأنظمه المعرضه للخطر مؤقتا عن الإنترنت إذا تعذر تحدیثها فورا، مع تطبیق إجراءات التخفیف التی یوصی بها فریق بی إتش بی، من دون اعتبارها بدیلا عن التحدیث الأمنی. مراجعه سجلات الأنظمه: البحث عن عملیات غیر معتاده أطلقتها خدمات الویب، أو ملفات وحسابات جدیده، أو اتصالات صادره مشبوهه، والتحقق من وجود أی مؤشرات على اختراق سابق.
هذه الثغرات تؤکد أهمیه الجمع بین تحدیث البرمجیات ومراقبه الأنظمه وتقلیل صلاحیات الوصول لحمایه البنیه التحتیه للإنترنت (شترستوک) وتبرز أهمیه المتابعه المستمره فی أن فریق بی إتش بی نشر، فی 23 أکتوبر/تشرین الأول الحالی، تحذیرا إضافیا بشأن ثغره أخرى تحمل المعرف (CVE-2026-115560)، لا تشملها التحدیثات التی نشرت فی 21 أکتوبر/تشرین الأول. وتتطلب هذه الثغره، بحسب التحذیر، ترکیبه غیر شائعه من إعدادات بی إتش بی وسلوک التطبیق. ویوصی الفریق بتعطیل میزه تتبع تقدم رفع الملفات مؤقتا فی الحالات ذات الصله، إلى حین صدور إصلاح مناسب.
المصدر: الجزیره + وکالات