PHP2Shell هي مجموعة من الثغرات الحرجة التي أُصلحت مؤخرًا في نواة PHP، وتصل خطورتها إلى CVSS 9.2. يمكن أن تسمح للمهاجمين غير المصادق عليهم بتنفيذ التعليمات البرمجية أو كشف ذاكرة العمليات الحساسة. يشغّل PHP نحو 70% من المواقع، بما في ذلك منصات مثل WordPress وDrupal وMediaWiki الخاصة بويكيبيديا.
عمل باحثو Wiz Research، ومنهم Sagi Tzadik وShir Tamari وNir Ohfeld وTomer Schwartz، مع Open AI Codex Security (Amy Burnett) وآخرين على الإفصاح المسؤول. تقع الثغرات في PHP نفسه، لذلك قد تتأثر المواقع حتى عندما تكون شيفرة تطبيقاتها آمنة. يكفي أن يعمل تطبيق بسيط مثل "Hello World" على إصدار PHP متأثر لتصبح الثغرة مكشوفة. أما المواقع التي تعمل بأحدث إصدارات PHP المُرقَّعة فهي محمية. واستجاب فريق PHP بسرعة وعمل عن كثب مع الباحثين على إصلاحات شاملة.
تنقسم الثغرات إلى فئتين، تُتابعان تحت الرقمين CVE-2026-109618 وCVE-2026-109619. تتعلق الأولى بتلف الذاكرة نتيجة نفادها، ويمكن أن تسمح بتنفيذ التعليمات البرمجية دون مصادقة بصفتها عامل ويب PHP. وتتعلق الثانية بحالة عامة قديمة تبقى بين الطلبات، ويمكن أن تمكّن من استخدام الذاكرة بعد تحريرها، فتكشف ذاكرة العامل أو تنفذ تعليمات برمجية. وأظهر الباحثون تنفيذًا عن بُعد للتعليمات البرمجية قبل المصادقة ضد WordPress وDrupal وJoomla باستخدام أحدث صور الحاويات المتاحة وقت الاختبار، كما أظهروا كشفًا للذاكرة لا يعتمد على التطبيق.
قد يتمكن المهاجمون من السيطرة على الخوادم، والوصول إلى البيانات الحساسة، أو قراءة كلمات المرور ورموز المصادقة ومفاتيح واجهات البرمجة والشهادات من طلبات أخرى. كما يمكن لكشف الذاكرة أن يسرق البيانات دون تحقيق تنفيذ التعليمات البرمجية أولًا، مما يجعل النشاط أصعب في الاكتشاف. والحل الكامل الوحيد هو تثبيت إصدار PHP مُصلح على كل بيئة تشغيل، وإعادة تشغيل Apache وPHP-FPM وأي عمليات PHP طويلة الأمد. فتحديث التطبيق لا يحدّث بيئة تشغيل PHP التي تقع تحته.
المصدر: Hacker News · لخّصه HeadlinesBriefing