PHP تصدر ترقيعات طارئة لمعالجة ثغرتين خطيرتين

أصدرت PHP Foundation تحديثات أمنية طارئة لمعالجة ثغرتين خطيرتين قد تعرضان أنظمة PHP المتاحة عبر الويب لسيطرة خطيرة عن بُعد من جانب المهاجمين. ووفق تنبيهات المؤسسة، تؤثر الثغرتان CVE-2026-109618 وCVE-2026-109619 في تثبيتات PHP التي تعالج طلبات الويب.

ووصف متخصصون في الأمن الوضع بأنه عاجل، لأن PHP مدمجة بعمق في البنية التحتية للإنترنت. فاللغة تشغّل عدداً كبيراً من المواقع وأنظمة البرمجيات، بما في ذلك منصات النشر مثل WordPress وDrupal وبرمجيات التجارة الإلكترونية مثل Adobe Magento. وقد تترك ثغرة خطيرة في طبقة ويب واسعة الانتشار المؤسسات عرضة للخطر حتى عندما لا يكون الخادم المتأثر جزءاً ظاهراً من أصولها التقنية.

انكشاف واسع يمتد عبر تاريخ PHP

وبحسب التقارير، تعود الثغرات إلى PHP 5 التي أُطلقت في يوليو 2004. ويثير هذا الامتداد الزمني الطويل قلقاً خاصاً لدى المسؤولين: فقد تبقى تثبيتات PHP القديمة في بيئات الإنتاج، أو تنتقل عبر تطبيقات قديمة، أو تستمر في بنى تحتية لم تحظَ باهتمام حديث.

لا يحظى بالدعم حالياً سوى PHP 8.2 والإصدارات الأحدث، وستتلقى هذه الإصدارات ترقيعات من مشروع PHP. وأشارت المؤسسة إلى أن بعض التوزيعات والمورّدين الخارجيين يواصلون إنتاج إصلاحات للإصدارات الأقدم. ويضع هذا التمييز ضغطاً إضافياً على المؤسسات التي تشغّل بيئات قديمة؛ إذ عليها تحديد وجود PHP، وإصدارها المنشور، والجهة التي توفرها، وما إذا كان تحديث قابل للاستخدام متاحاً.

إرشاد المؤسسة مباشر على نحو غير معتاد: التحديث هو الخيار الآمن الوحيد. وقالت إنه لا توجد إجراءات تخفيف كاملة. وعملياً، لا ينبغي للفرق اعتبار تغييرات الإعدادات أو دفاعات المحيط بديلاً عن نشر التحديث الأمني المناسب حيثما كان متاحاً.

لماذا يتحرك مسؤولو الويب بسرعة

جاءت التقارير عن الثغرات مصحوبة بتحذيرات من قدرة المهاجمين على التحرك سريعاً. وقالت Cloudflare إنها رصدت هجمات مبكرة قبل أن تنشر المؤسسة تفاصيل الثغرات وإصلاحاتها. وتوقعت شركة الأمن Sansec بدء هجمات واسعة خلال دقائق من الإصدار.

ويهم التوقيت هنا. فقد يسرّع الكشف العلني عن ثغرة ويب خطيرة الاستغلال، لأن المهاجمين والمدافعين يحصلون على المعلومات نفسها تقريباً في اللحظة نفسها. ويتعين على المدافعين تحديد الأنظمة المتأثرة واختبار الترقيعات وتطبيقها والتأكد من عودة الخدمات بأمان، بينما لا يحتاج المهاجمون إلا إلى العثور على تثبيت مكشوف لم يُحدّث بعد.

وتكون العواقب المحتملة شديدة خصوصاً عندما تُستخدم PHP لمعالجة طلبات الويب الواردة. ويتمثل القلق المعلن في أن يسمح الاستغلال للمهاجمين بالسيطرة عن بُعد على الأنظمة المستهدفة. وبعد الحصول على موطئ قدم كهذا، قد يتجاوز الحادث التطبيق الأصلي، تبعاً لإعدادات النظام والصلاحيات المتاحة للعملية المخترقة.

الأنظمة القديمة هي الحالة الأصعب

يجعل عمر PHP وانتشارها الواسع التثبيتات المنسية خطراً محورياً. فقد تكون مؤسسة قد حدّثت موقعها العام الرئيسي، لكنها احتفظت بتطبيق قديم أو أداة إدارية أو بوابة دعم أو مكوّن يديره مورّد في مكان آخر من بيئتها. وقد تظل هذه الأنظمة تعالج طلبات الويب ولا تشملها دورات التحديث المعتادة.

ولا تقتصر المشكلة على نوع معين من المؤسسات. تُستخدم PHP في النشر والتجارة وتطوير الويب العام، ولذلك قد توجد عمليات نشر متأثرة في قطاعات عديدة. والسؤال المهم للمسؤولين ليس ما إذا كان المنتج الرئيسي مكتوباً بـ PHP، بل ما إذا كانت أي خدمة مكشوفة للإنترنت أو داخلياً تعتمد عليها.

وتتطلب الإصدارات غير المدعومة اهتماماً خاصاً. فتوفر ترقيعات من بعض التوزيعات أو المورّدين لا يضمن أن كل تثبيت قديم لديه إصلاح. وعندما يكون مسار التحديث غير واضح، ينبغي للمؤسسات تحديد الإصدار والمورّد بدلاً من افتراض أن وجود تنبيه من المشروع الأصلي يحل تلقائياً مسألة تعرضها.

طبّق التحديث ثم تحقّق

تتمثل الاستجابة الفورية في تطبيق التحديث الأمني المتاح على تثبيتات PHP المدعومة، والسعي إلى الحصول على إصلاحات من المورّد أو التوزيعة للعمليات الأقدم. وبما أن المؤسسة تقول إن إجراءات التخفيف الكاملة غير موجودة، فإن تأجيل التحديثات يترك خطراً متبقياً لا تستطيع الضوابط التعويضية الأخرى إزالته بالكامل.

كما ينبغي للمؤسسات التحقق من قوائم أصولها بعد تطبيق الترقيعات. وتستحق الخدمات العامة وأنظمة إدارة المحتوى ومنصات التجارة الإلكترونية وتطبيقات الويب الأقل بروزاً المراجعة. والهدف هو العثور على الأنظمة السهلة النسيان، لا الخوادم المعروفة والمُدارة مركزياً فقط.

تذكّر هذه الحادثة بأن البرمجيات الأساسية قد تخلق خطراً نظامياً عند ظهور ضعف خطير. وقد جعلت فائدة PHP منها جزءاً دائماً من الويب، لكن هذه الاستمرارية تعني أيضاً أن عمليات النشر القديمة قد تعيش أطول من الإجراءات الموضوعة لتأمينها. ومع الإبلاغ عن هجمات مبكرة وتوقع الخبراء استغلالاً أوسع، فإن المسار الأكثر أماناً هو ما حددته PHP Foundation: تحديث الأنظمة المتأثرة بأسرع ما يمكن.

يستند هذا المقال إلى تقرير نشرته Wired. اقرأ المقال الأصلي.