ثغرات PHP2Shell: باحثون بمساعدة الذكاء الاصطناعي يكشفون خللاً يهدد 70% من مواقع الويب

داخل ثغرات PHP2Shell: عقد كامل من الانكشاف وتقديم موعد التحديث إلى 21 أكتوبر

في يوم الأربعاء 21 أكتوبر 2026، كشف باحثون أمنيون ومطورو لغة البرمجة PHP عن مجموعة من الثغرات الحرجة لتنفيذ الشيفرة عن بُعد (RCE) عُرفت مجتمعةً باسم PHP2Shell، مع طرح التحديثات الأمنية المعالجة لها في اليوم ذاته. ووفقاً لفريق Wiz Research، تحمل الثغرتان المعرفين CVE-2026-109618 وCVE-2026-109619 وتصل درجة خطورتهما على مقياس CVSS إلى 9.2. وتؤكد شركة Wiz أن كل إصدار من لغة PHP صدر خلال العقد الماضي متأثر بواحدة على الأقل من هاتين الثغرتين، حيث يمتد نطاق الانكشاف إلى الإصدار PHP 5.4.

وتنبع خطورة التأثير المحتمل من الدور التأسيسي الذي تلعبه لغة PHP على شبكة الإنترنت. فكما أوردت صحيفة The Philadelphia Inquirer، تُستخدم لغة PHP في ما يصل إلى 70% من مواقع الويب على الإنترنت، بينما أشار موقع TidBITS إلى أن الخلل يتيح تنفيذ شيفرة برمجية عن بُعد دون مصادقة داخل محرك PHP ذاته — وهي اللغة التي تقوم عليها أنظمة إدارة المحتوى الكبرى مثل WordPress وDrupal وJoomla. وفي تصريح لصحفيي Wall Street Journal ضمن تغطية نقلتها صحيفة To Vima، وصف Volker Dusch من مؤسسة PHP Foundation ثغرات PHP2Shell بأنها أخطر مشكلة أمنية واجهتها لغة PHP منذ أكثر من عقد، مشبهاً خطورتها بثغرة Heartbleed الشهيرة.

وقد عكس حجم التعديل البرمجي وسهولة الاستغلال المحتمل دقة هذا التشبيه. فبحسب التقرير المنشور عبر To Vima، شمل تحديث PHP قرابة 200 ملف وأكثر من 10,000 سطر من الشيفرة البرمجية، في حين لم يتطلب الاستغلال الناجح سوى بضع عشرات من الطلبات (requests). ووفقاً للجدول الزمني الذي نشرته شركة Wiz، اكتُشفت الثغرة الأولى في 19 أغسطس 2026، وأُبلغ فريق أمن PHP بها في 24 أغسطس، ثم جرى الإقرار بها رسمياً في 21 سبتمبر. وكما أفادت صحيفة Deseret News، كان من المقرر أصلاً إصدار التحديث يوم الخميس 22 أكتوبر 2026، غير أن أخبار العمل على الإصلاح تسربت يوم الثلاثاء، مما دفع القائمين على المشروع إلى تقديم موعد طرح الإصدارات المحدثة والإفصاح العلني يوماً واحداً ليصدر يوم الأربعاء 21 أكتوبر 2026.

كيف اكتشف الذكاء الاصطناعي خللاً قديماً — ولماذا تتباين الروايات حول أسبقية الاكتشاف

لعل الجانب الأكثر لفتاً للانتباه في ثغرات PHP2Shell هو أن موطن الضعف الأساسي لم يكن في شيفرة برمجية كُتبت حديثاً. فوفقاً لصحيفة Deseret News، كانت المشكلة الأساسية قد رُصدت قبل عقود، لكن خبراء الأمن البشريين قدّروا حينها أن استغلالها عملياً بالغ الصعوبة فقرروا خفض أولويتها. غير أن نماذج الذكاء الاصطناعي الحديثة غيرت هذه المعادلة عبر ربط الشروط التقنية اللازمة لتحويل نقطة ضعف نظرية مهملة منذ زمن طويل إلى استغلال فعلي لتنفيذ الشيفرة عن بُعد.

ومع ذلك، تختلف التقارير الصحفية والبيانات التقنية للشركات حول فريق البحث وأداة الذكاء الاصطناعي التي اكتشفت الثغرات أولاً. فبحسب صحيفة Deseret News، اكتشف Ryan Austin، وهو باحث في الأمن الرقمي لدى شركة Calif، هذه الثغرات خلال تدقيق أمني في شهر أغسطس باستخدام منصة GPT-5.6 Sol التابعة لشركة OpenAI. كما أوردت صحيفة The Philadelphia Inquirer أن شركة Calif عثرت على الخلل ضمن مبادرة تديرها شركة OpenAI لمساعدة الباحثين الأمنيين على اكتشاف ثغرات الإنترنت باستخدام أدوات الذكاء الاصطناعي. وفي المقابل، ينسب المنشور التقني لفريق Wiz Research الفضل إلى أدوات الذكاء الاصطناعي التي استخدمها فريقه — وتحديداً Wiz Atlas، ونموذج Gemini 4 Argon من Google، ونموذج GPT-5.6 Sol من OpenAI — مؤكداً أن Gemini 4 Argon قدم «مساهمة لا تقدر بثمن» في اكتشاف الثغرة، وتطوير الاستغلال، ورصد الهجمات، والتحقق من كفاءة التحديث.

وبغض النظر عن توزيع الفضل بين Calif وWiz، أثارت الطبيعة مزدوجة الاستخدام للبحث عن الثغرات بمساعدة الذكاء الاصطناعي تحذيرات فورية. ففي بيان نقلته صحيفة The Philadelphia Inquirer، أشارت شركة OpenAI إلى أنه في حين يستطيع الذكاء الاصطناعي كشف ثغرات أمنية ذات تأثير يمتد على مستوى الإنترنت ككل، فإن القدرات ذاتها يمكن أن تساعد المهاجمين أيضاً على تطوير أدوات هجومية واستغلالات بسرعة فائقة.

قواعد WAF الاحترازية وتحذيرات NSA وحتمية تحديث بيئة التشغيل

نظراً لأن استغلالاً لا يتطلب مصادقة ولا يحتاج سوى بضع عشرات من الطلبات كان يهدد ما يصل إلى 70% من خوادم الويب، تحركت شبكات الحماية الطرفية والوكالات الحكومية بالتوازي مع الإعلان. ووفقاً لموقع PPC Land، نشرت شركة Cloudflare قواعد جدار حماية تطبيقات الويب (WAF) لحظر استغلالات PHP2Shell اعتباراً من الساعة 03:02 UTC يوم 21 أكتوبر 2026 — أي قبل نحو تسع ساعات من الإعلان العلني عن الثغرات — بما في ذلك الباقات المجانية، مع تشديدها على ضرورة قيام العملاء بتحديث نسخ PHP لديهم. كما أشار فريق Wiz Research إلى أن شركات من بينها Cloudflare وFastly وVercel نشرت إجراءات تخفيف مؤقتة، لكنه أكد أن تطبيق تحديث الأمان الرسمي للغة PHP هو العلاج الكامل الوحيد.

وتحركت منصات الاستضافة المُدارة الكبرى في الاتجاه ذاته. فبحسب موقع TidBITS، أعلنت منصة WordPress.com أن مواقعها المستضافة محمية بالفعل ضد ثغرات PHP2Shell الحرجة، بينما أفادت شركة DreamHost بتطبيق تحديثات الأمان الرسمية للغة PHP عبر القسم الأكبر من شبكتها، مع إشارة أحد القراء إلى التحديث نحو الإصدار PHP 8.3.36.

أما بالنسبة للخوادم المستضافة ذاتياً التي يتعذر تحديثها فوراً، فقد جاءت التوجيهات الحكومية الأمريكية حاسمة. فكما أوردت صحيفة Deseret News، نصحت وكالة الأمن القومي الأمريكية (NSA) جميع المؤسسات التي تستخدم PHP في أنظمتها بالاستعداد للتحديث، وأفادت صحيفة The Philadelphia Inquirer بأن مركز التعاون السيبراني التابع لوكالة NSA (NSA Cybersecurity Collaboration Center) نصح المواقع التي لا تستطيع إصلاح المشكلة على الفور بالخروج مؤقتاً من الخدمة (go temporarily offline) بدلاً من البقاء عرضة للاختراق.

ماذا يعني هذا لمزودي الاستضافة ومواقع التجارة الإلكترونية والبوابات العمومية في الجزائر

في الجزائر، تشكل أنظمة WordPress وDrupal وJoomla وتطبيقات PHP المخصصة الركيزة الأساسية للغالبية العظمى من المواقع الإخبارية، ومتاجر التجارة الإلكترونية، والوكالات الرقمية، والبوابات المؤسسية. ولأن موقع PPC Land يؤكد أن تحديث شيفرة الموقع أو إضافات نظام إدارة المحتوى (plugins) لا يعالج الثغرات الموجودة داخل بيئة تشغيل PHP نفسها، يتعين على مديري الأنظمة وأصحاب المواقع في الجزائر اتخاذ أربع خطوات فورية.

1. تحديث محرك تشغيل PHP الأساسي — وليس مجرد إضافات WordPress أو Joomla

يتمثل الخطأ الأكثر خطورة أثناء أزمات ثغرات الويب في افتراض أن النقر على «تحديث الإضافات» أو «تحديث WordPress» داخل لوحة التحكم يكفي لتأمين الخادم. فنظراً لأن الثغرتين CVE-2026-109618 وCVE-2026-109619 تقعان في صلب محرك تشغيل PHP — وأن التحديث الرسمي عدّل قرابة 200 ملف وأكثر من 10,000 سطر من شيفرة محرك PHP — فإن تحديث قوالب الموقع أو الإضافات لا يزيل الخلل على الإطلاق. ويجب على مديري الأنظمة في الجزائر الذين يديرون خوادم افتراضية (VPS) أو خوادم مخصصة أو بيئات Linux محلية تحديث حزم النظام مثل php-fpm أو mod_php أو صور الحاويات إلى إصدارات 21 أكتوبر 2026 المحدثة (مثل PHP 8.3.36 المشار إليه في DreamHost) وإعادة تشغيل خدمات PHP فوراً.

2. جرد الخوادم القديمة التي تعمل بإصدارات متوقفة الدعم وصولاً إلى PHP 5.4

حذر فريق Wiz Research من أن كل إصدار من لغة PHP صدر خلال العقد الماضي متأثر بواحدة على الأقل من ثغرات PHP2Shell، مع امتداد الانكشاف حتى الإصدار PHP 5.4. ولا تزال العديد من البوابات البلدية القديمة، والنطاقات الفرعية الجامعية، ومواقع الشركات التقليدية في الجزائر تعمل على فروع PHP 5.x أو PHP 7.x التي توقف دعمها الرسمي ولا تتلقى تحديثات تلقائية عبر مستودعات Linux القياسية. لذا يجب على فرق تقنية المعلومات حصر جميع إصدارات PHP المعرضة للإنترنت اليوم؛ وإذا تعذر ترقية تطبيق قديم إلى إصدار PHP محدث على الفور، ينبغي لمديري الأنظمة اتباع نصيحة مركز التعاون السيبراني في وكالة NSA بإيقاف الخوادم غير القابلة للتحديث مؤقتاً أو عزلها خلف ضوابط وصول صارمة.

3. وضع المواقع غير المحدثة خلف قواعد حماية WAF طرفية بشكل فوري

رغم تأكيد كل من Wiz وCloudflare أن تحديث بيئة تشغيل PHP هو الحل الكامل الوحيد، توفر إجراءات التخفيف الطرفية من Cloudflare وFastly وVercel مظلة حماية حيوية ريثما تختبر الفرق الهندسية ترقية المحرك. وتجدر الإشارة إلى أن Cloudflare فعّلت قواعد WAF الخاصة بثغرات PHP2Shell منذ الساعة 03:02 UTC يوم 21 أكتوبر 2026 عبر شبكتها، بما يشمل الباقات المجانية. وينبغي للناشرين الإعلاميين، والمتاجر الإلكترونية، والوكالات الرقمية في الجزائر التي تدير خوادمها ذاتياً التأكد من مرور جميع طلبات HTTP/HTTPS عبر جدار WAF نشط — مع إغلاق الوصول المباشر إلى عنوان IP الأصلي للخادم حتى لا يتمكن المهاجمون من تجاوز شبكة الحماية وإرسال بضع عشرات من طلبات الاستغلال مباشرة إلى الخادم.

4. دمج سرعة الاستغلال المدعومة بالذكاء الاصطناعي في حوكمة التحديثات الأمنية

تثبت حادثة PHP2Shell أن الافتراضات القديمة حول كون بعض الأخطاء البرمجية العميقة «أصعب من أن تُستغل» لم تعد صالحة عندما يستخدم الباحثون — والمهاجمون — نماذج مثل GPT-5.6 Sol وGemini 4 Argon ومنصات متخصصة مثل Wiz Atlas. فقد تحول خلل أهمله الخبراء البشريون قبل عقود إلى استغلال عملي، وكما حذرت OpenAI، فإن قدرات الذكاء الاصطناعي ذاتها يمكن أن تساعد المهاجمين على تطوير أدوات هجومية بسرعة. ومن ثم يجب على مسؤولي أمن المعلومات ومزودي الاستضافة في الجزائر تقليص نوافذ تطبيق التحديثات لمحركات التشغيل المعرضة للإنترنت من أسابيع إلى ساعات معدودة.

الدرس الهيكلي: الذكاء الاصطناعي يعيد فحص الشيفرات التأسيسية للإنترنت

يمثل الكشف عن الثغرتين CVE-2026-109618 وCVE-2026-109619 في 21 أكتوبر 2026 نقطة تحول في أمن البرمجيات. فلعقود طويلة، اعتمدت بيئات التشغيل مفتوحة المصدر التي تشغل ما يصل إلى 70% من مواقع الويب على افتراض أن بعض التعقيدات المعمارية المدفونة في الشيفرة عصية على الاستغلال العملي. ولكن عندما تتمكن عمليات التدقيق المعززة بالذكاء الاصطناعي لدى فرق Calif وWiz من كشف تلك الثغرات وفرض تحديث يمتد لأكثر من 10,000 سطر برمجي عبر قرابة 200 ملف، لم يعد ممكناً اعتبار أي شيفرة قديمة آمنة لمجرد تعقيدها.

وبالنسبة لمزودي الاستضافة، والوكالات الرقمية، وفرق تقنية المعلومات في المؤسسات الجزائرية، تمثل PHP2Shell تمرين استجابة طارئاً ولمحة مبكرة عن العقد القادم في الأمن السيبراني: فالجهات التي تؤتمت تحديث محركات التشغيل وتفرض حماية WAF طرفية ستصمد أمام الثغرات المكتشفة بسرعة الذكاء الاصطناعي، بينما ستظل الجهات التي تكتفي بتحديث إضافات الواجهة عرضة للاختراق.

الأسئلة الشائعة

المصادر والقراءات الإضافية

• PHP2Shell: Critical Remote Code Execution Vulnerabilities in Core PHP — Wiz
• PHP2Shell Vulnerabilities Put 70% of Websites at Risk — TidBITS
• AI Uncovers Critical Security Flaw in PHP Programming Language — Deseret News
• PHP2Shell Software Flaw Puts Up to 70% of Websites at Risk — The Philadelphia Inquirer
• AI Just Found a Bug That Puts Up to 70% of the World’s Websites at Risk — To Vima (WSJ Syndication)
• Cloudflare Blocks PHP2Shell Exploits 9 Hours Before PHP Flaws Went Public — PPC Land