حددت Amazon Threat Intelligence محاولة استغلال PHP2Shell بتاريخ 17 أكتوبر 2026 في بيانات مصيدة Mad Pot، قبل أربعة أيام من الإفصاح العلني عن CVE-2026-109618 وCVE-2026-109619. وجاءت المحاولة من عنوان IP مرتبط بشبكة إخفاء هوية تجارية. ورغم أن الثغرة كانت خاضعة للحظر المؤقت، فإن استهداف المصيدة يشير إلى أن جهة تهديد كانت نشطة، ولا يزال من غير الواضح كيف حصلت تلك الجهة على معلومات الاستغلال قبل الإفصاح.
كان من المقرر رفع الحظر المؤقت عن PHP في 21 أكتوبر 2026 الساعة 14:00 بتوقيت UTC. ولاحظ فريق Amazon Threat Intelligence عدة إثباتات مفهوم للاستغلال في يوم الإصدار، وأقدمها حوالي الساعة 02:00 بتوقيت UTC. وبين الساعة 02:00 و08:00 بتوقيت UTC، جاءت محاولات استغلال إضافية تستهدف Mad Pot من بنية تحتية مجهولة أخرى. وتشير الحمولات المتنوعة إلى وجود عدة جهات فاعلة، ولا يزال التحليل الفني مستمراً لتحديد ما إذا كانت أي من المحاولات ستنجح ضد أنظمة حقيقية.
وخلال ساعات من إصدار التحديث، ظهرت المزيد من إثباتات المفهوم للاستغلال، واستُخدمت ضد مستشعرات Amazon تقريباً فوراً. ويجري الآن استغلال PHP2Shell على نطاق واسع في الميدان. وتستخلص Amazon درسين: الحظر المؤقت يحمي المدافعين فقط حتى يكتشف شخص آخر الخلل نفسه، وقد لا يكون تاريخ الإفصاح العلني هو أقدم تاريخ للاستغلال. ولأن التحليل المدعوم بالذكاء الاصطناعي يجعل تحويل التحديثات إلى استغلالات عاملة أرخص، فإن الفجوة بين التحديث والهجوم تضيق.
ينبغي لفرق الأمن قياس مدد تطبيق التحديثات للثغرات الحرجة المكشوفة على الإنترنت بالساعات بدلاً من الأيام، وبدء التحقيقات من أقدم استغلال معروف، ونشر آليات كشف لا تعتمد على توقيعات CVE محددة. ويُعد الترقية إلى إصدارات PHP المُصلحة الحل الكامل الوحيد. وحيثما لا يمكن التحديث فوراً، ينبغي للفرق النظر في حظر رفع الملفات متعددة الأجزاء بعد تقييم أثرها على التطبيق، ومراجعة السجلات بحثاً عن طلبات POST التي تحتوي على السلسلة PHP_SESSION_UPLOAD_PROGRESS.
المصدر: Hacker News · لخّصه HeadlinesBriefing