ثغرة PHP2Shell: الذكاء الاصطناعي يكشف ثغرتين حرجتين في PHP

في 21 أكتوبر أصدر فريق PHP الإصدارات 8.5.12 و8.4.27 و8.3.36 و8.2.35، وهي تسدّ ثغرتين حرجتين تسمحان بتنفيذ الأكواد عن بُعد دون تسجيل دخول: CVE-2026-109618 وCVE-2026-109619. وفي اليوم نفسه نشر فريق Wiz Research تفاصيل ثغرة PHP2Shell، وكشف أن نموذجَي Gemini 4 Argon وGPT-5.6 Sol ساعدا في اكتشافها وفي كتابة الاستغلال.

ما هي ثغرة PHP2Shell؟

PHP2Shell ثغرتان في محرّك PHP نفسه، لا في تطبيق بعينه. وقد حصلت كلٌّ منهما على تقييم CVSS 9.2. وبحسب إعلان php.net:

1. CVE-2026-109618 تتعلق بالتعامل مع نفاد الذاكرة (OOM). قد يوقف الخلل PHP عندما تكون البيانات الداخلية للطلب مهيّأة جزئيًا فقط، ثم تتعامل معها عملية التنظيف بعد الطلب كأنها سليمة.
2. CVE-2026-109619 حالة “حالة عامة قديمة”: يمكن للحالة الداخلية للطلب أن تبقى بعد تحرير الذاكرة، فيستخدمها الطلب التالي الذي تعالجه العملية نفسها.

كل تثبيتات PHP التي تخدم حركة الويب معرّضة للخطر: PHP-FPM وApache مع mod_php وphp-cgi وFrankenPHP وLiteSpeed. وأسوأ الحالات mod_php، إذ عُرض فيه استغلال يبدأ فيه طلب بلا تسجيل دخول الهجوم قبل تنفيذ أي سطر من كود التطبيق.

وبحسب Wiz، كان الكود المعرّض للثغرة موجودًا في PHP منذ أكثر من عقد، وتمتد المشكلة إلى الإصدارات منذ PHP 5.4. وأظهر الباحثون تنفيذ الأكواد عن بُعد على أحدث صور Docker لكلٍّ من WordPress وDrupal وJoomla.

ما دور الذكاء الاصطناعي في اكتشاف PHP2Shell؟

تقول Wiz إنها استخدمت طوال البحث أداتها Wiz Atlas بشكل أساسي، إلى جانب نموذجَي Gemini 4 Argon وGPT-5.6 Sol، وإن Gemini 4 Argon ساعد في إيجاد الثغرة وكتابة الاستغلال واكتشاف الهجوم والتحقق من الإصلاح. أما الجدول الزمني في منشور Wiz فهو:

1. 19 أغسطس 2026: تعثر Wiz على الثغرة الأولى.
2. 20 أغسطس: تؤكد تنفيذ الأكواد عن بُعد على Drupal.
3. 21 أغسطس: الأمر نفسه على WordPress.

أي أن يومين فقط فصلا بين اكتشاف الخلل وهجوم فعّال على WordPress. وتوضح Wiz أن الثغرتين كانتا موجودتين منذ زمن طويل، وأن إثبات إمكانية استغلالهما تطلّب سلسلة معقدة جدًا من الخطوات، لكن نماذج الذكاء الاصطناعي “substantially reduced that barrier, turning a longstanding flaw into an exploit”. وعلّقت Raluca Ada Popa، رئيسة أمن Gemini في Google DeepMind، بأن Wiz أظهرت “why frontier AI is a game-changer for cyber defense”.

ولم تكن Google وحدها. فبحسب heise، كان فريق Calif أول من وصل إليها، أثناء تدقيق الكود مع PHP Ecosystem Security Team ضمن مبادرة OpenAI “Patch the Planet”. وأعادت Wiz وOpenAI إنتاج الثغرتين بمساعدة نماذج اللغة الكبيرة، وساعدتا في مراجعة الإصلاح.

لماذا كل هذا الاهتمام؟

أولًا، الحجم. فعلى PHP تعمل WordPress وDrupal وJoomla، والثغرة تنطلق قبل كود التطبيق. وقد جمع إعلان الإصلاح على قائمة php.announce أكثر من 1300 نقطة على Hacker News قبل ظهور أي تفاصيل.

ثانيًا، التسريب. فبحسب heise كان النشر مقررًا في 22 أكتوبر، لكنه قُدّم يومًا واحدًا لأن المعلومات تسرّبت. وتذكر SecurityWeek أن watchTowr أعادت بناء CVE-2026-109618 حتى قبل صدور الإصلاحات، وتتوقع Sansec أن تبدأ الهجمات الواسعة “within 15 minutes of the patch release”. وحتى الآن لم ترصد watchTowr وHuntress أي استغلال في هجمات حقيقية.

ثالثًا، الاتجاه. كما في حالة Claude Mythos في بنك أوف أمريكا، تعثر نماذج الذكاء الاصطناعي على ثغرات خطيرة أسرع مما يستطيع البشر ترقيعها. غير أن الأدوات نفسها في أيدي المهاجمين أيضًا، وهو ما أظهره جيدًا الهجوم السيبراني بالذكاء الاصطناعي عبر منصة Cairn.

ماذا نفعل إذا كنا نستخدم PHP؟

1. حدّثوا PHP إلى 8.5.12 أو 8.4.27 أو 8.3.36 أو 8.2.35. وبحسب php.net وWiz، هذه هي الحماية الكاملة الوحيدة.
2. بحسب heise، ستحصل الفروع الأقدم 7.4 و8.0 و8.1 على إصلاحات منقولة، ويُتوقع أن تصدر توزيعات لينكس حزمها خلال ساعات.
3. مع Docker يجب سحب الصورة الجديدة وإعادة تشغيل الحاوية.
4. افحصوا أيضًا الأجهزة التي تملك لوحة ويب مكتوبة بـ PHP: أجهزة NAS والراوترات والأجهزة المدمجة (تذكر heise منها pfSense وQNAP وSynology).
5. إلى حين التحديث، تساعد قواعد WAF من Cloudflare أو Akamai أو AWS، لكن فريق PHP يصف حلول الإعدادات المؤقتة بأنها “a temporary crutch”.

(إن كنتم على استضافة مشتركة، فاسألوا المزوّد متى سيثبّت الإصلاحات)

الأسئلة الشائعة

هل تؤثر ثغرة PHP2Shell على WordPress؟

نعم. أظهرت Wiz تنفيذ الأكواد عن بُعد على أحدث صورة wordpress:latest، وكذلك على Drupal وJoomla. الثغرة في PHP، لذا الحل تحديث PHP لا WordPress.

ما إصدارات PHP الآمنة؟

PHP 8.5.12 و8.4.27 و8.3.36 و8.2.35 الصادرة في 21 أكتوبر 2026 وما بعدها. أما الإصدارات الأقدم فيجب اعتبارها معرّضة للخطر.

هل تُستغل الثغرتان بالفعل؟

بحسب SecurityWeek، لم ترصد watchTowr وHuntress هجمات حقيقية، لكن التفاصيل تسرّبت قبل النشر، وتتوقع Sansec هجمات واسعة فور صدور الإصلاحات.

من اكتشف PHP2Shell؟

بحسب heise، كان فريق Calif الأول ضمن مبادرة “Patch the Planet” من OpenAI. أما Wiz Research فوصفت الثغرتين باسم PHP2Shell ووجدتهما بمساعدة Gemini 4 Argon وGPT-5.6 Sol.