أجبرت ثغرتان حرجتان في لغة PHP، وهي لغة مفتوحة المصدر عمرها عقود تشغّل جزءاً ضخماً من الويب، العالم على سباق تصحيح واسع هذا الأسبوع، بعدما وجد الباحثون طريقة لاستغلال شيفرة ظلت خامدة سنوات. الثغرتان تحملان اسم PHP2Shell والرقمين الرسميين CVE-2026-109618 وCVE-2026-109619، وفق TechCrunch.
وأصدرت مؤسسة PHP التي تدير البرنامج تصحيحات الأربعاء تسدّ الثغرات في الخوادم المتصلة بالإنترنت. وكانت المؤسسة قد شاركت الإصلاحات سراً مع شركات إنترنت ومزوّدي استضافة كبار، في إفصاح منسّق ساعد حتى الآن العالم على تفادي استغلال واسع النطاق. ومع ذلك يحذّر الباحثون من أن أنظمة كثيرة ما زالت دون تصحيح ومعرّضة للخطر، وأن هذه ليست المرّة الأخيرة على الأرجح.
ماذا تفعل PHP2Shell فعلاً
رُصدت الثغرتان أول مرة عام 2024 لكن لم يُعتبرا قابلة للاستغلال حينها، فلم تُصحّحا أبداً. وحديثاً توصّل الباحثون إلى كيفية تسليحهما فأبلغوا مؤسسة PHP التي أدارت بعدها عملية إصلاح وإفصاح محكمة، وفق TechCrunch.
- تنفيذ شيفرة عن بُعد: يمكن للمهاجمين استهداف خادم عبر الإنترنت دون أن ينقر الضحية رابطاً أو يفتح ملفاً.
- وصول دون مصادقة: لا حاجة إلى كلمة مرور أو أي بيانات اعتماد للاختراق.
- سيطرة كاملة: يمكن استخدام نظام غير مُصحّح لزرع برمجيات خبيثة أو سرقة بيانات أو البقاء داخله طويلاً.
- انتشار واسع: نحو 70% من البنية التحتية للإنترنت تعتمد على PHP، بما يشمل WordPress وDrupal وJoomla وMediaWiki الذي يشغّل ويكيبيديا.
