الملخص:
أعلنت شركة Cloudflare، الشركة العالمية للخدمات السحابية وأمن الشبكات، في 21 أكتوبر 2026، أنها قامت بنشر قواعد حماية جدار حماية تطبيقات الويب (WAF) ضد ثغرتين أمنيتين خطيرتين تعرفان باسم "php2shell" في لغة برمجة PHP. تم ترقيم الثغرات الأمنية بـ CVE-2026-109618 وCVE-2026-109619 على التوالي، مما قد يؤدي إلى رفض الخدمة وتنفيذ التعليمات البرمجية عن بعد وتسرب البيانات الحساسة.
ذكرت Cloudflare أن الشركة بدأت في إعداد إجراءات الحماية قبل الإعلان عن الثغرة الأمنية رسميًا وأكملت النشر قبل 9 ساعات تقريبًا من الإعلان عن الثغرة الأمنية. بدءًا من الساعة 3:02 صباحًا بالتوقيت العالمي المنسق في 21 أكتوبر، سيحصل كل من العملاء المجانيين والمدفوعين الذين يقومون بتمكين Cloudflare WAF على الحماية افتراضيًا.
يعد عمل الحماية هذا أحد إجراءات الاستجابة المنسقة التي شاركت فيها Cloudflare مع PHP Foundation وOpenAI وWiz وغيرها من المنظمات. عندما يتم تسريب معلومات الثغرات الأمنية مسبقًا ويبدأ المهاجمون في محاولة استغلال الثغرات الأمنية، تستمر فرق الأمان ذات الصلة في ضبط قواعد الحماية وتسعى جاهدة لتوفير حماية إضافية لخدمات الإنترنت قبل أن يكمل مشغلو مواقع الويب ترقيات البرامج.
وقالت Cloudflare إنه قبل الإعلان رسميًا عن الثغرة الأمنية، لاحظت الشركة حركة مرور الهجوم التي تستهدف العملاء. ووجد الفريق الأمني أيضًا أن المهاجمين استمروا في تعديل حمولات الهجوم في محاولة لتجاوز إجراءات الحماية المنشورة. من خلال تتبع عدد مطابقات القواعد وتحليل التغييرات في المهاجمين جنبًا إلى جنب مع منطق القاعدة، يمكن لـ Cloudflare ضبط آلية الكشف بشكل مستمر للتعامل مع متغيرات الهجوم الجديدة.
PHP هي لغة برمجة من جانب الخادم تُستخدم على نطاق واسع على الإنترنت. استشهد Cloudflare ببيانات من W3Techs وأشار إلى أن ما يقرب من 70٪ من مواقع الويب في العالم تستخدم PHP. تعتمد منصات مواقع الويب الشائعة، بما في ذلك WordPress وMagento، على PHP للتشغيل. لذلك، بمجرد حدوث ثغرة أمنية خطيرة في بيئة التشغيل الأساسية، فقد تؤثر على عدد كبير من مواقع الويب والخدمات عبر الإنترنت وتطبيقات المؤسسات.
تؤثر هذه الثغرة الأمنية على وقت تشغيل PHP نفسه، وليس على برنامج موقع ويب محدد أو مكون إضافي. يمكن للمهاجم إرسال طلب HTTP تم إنشاؤه خصيصًا إلى الخادم، مما يؤدي إلى تشغيل PHP للتعامل مع مشكلات الذاكرة في حالة غير طبيعية. وفقًا للمعلومات التي كشفت عنها Cloudflare، هناك اثنتين من نقاط الضعف تتضمن فشل PHP في التعامل بأمان مع الذاكرة ذات الصلة والحالة الداخلية عند نفاد الذاكرة أو حدوث أخطاء فادحة أثناء معالجة الطلب.
تتضمن الثغرة الأمنية الأولى، CVE-2026-109618، معالجة الاستثناءات بعد استنفاد الذاكرة. عندما تقوم PHP بمقاطعة الطلب عندما لم تتم تهيئة بعض البيانات الداخلية، فقد تستخدم عمليات التنظيف اللاحقة عن طريق الخطأ هذه البيانات التي لم تتم تهيئتها بشكل فعال كبيانات عادية، مما يتسبب في تلف الذاكرة.
تتضمن الثغرة الأمنية الثانية، CVE-2026-109619، الحالة الداخلية التي تبقى بعد انتهاء الطلب. عند حدوث خطأ فادح في الطلب، قد تستمر عملية PHP في الاحتفاظ بالمراجع إلى الذاكرة المحررة. إذا تعاملت نفس العملية لاحقًا مع طلب آخر، فقد تصل إلى الذاكرة التي انتهت صلاحيتها، مما يؤدي إلى تسرب البيانات الحساسة أو حتى خلق الظروف لمزيد من الهجمات.
يمكن للمهاجم تشغيل هذه الاستثناءات عن طريق إنشاء طلبات محددة. يمكن أن تؤدي الطلبات الأكبر حجمًا إلى ضغط الذاكرة، لكن الخطر لا يقتصر على استهلاك موارد الخادم. قد يستغل المهاجمون أيضًا العيوب في معالجة البرنامج للذاكرة غير الصالحة لتعطيل عملية PHP أو تسريب معلومات حساسة أو تنفيذ تعليمات برمجية يقدمها المهاجم.
في مواجهة مثل هذه الثغرات الأمنية، لا توفر قواعد جدار الحماية التقليدية لتطبيقات الويب دائمًا أساسًا موثوقًا بدرجة كافية للحكم. تشير Cloudflare إلى أنه من خلال فحص الطلبات الواردة فقط، يكون من الصعب أحيانًا التمييز بدقة بين الهجمات الضارة وحركة المرور العادية. إذا كان بإمكانك تحليل الطلب والاستجابة التي يعرضها الخادم في نفس الوقت، فستتاح لك الفرصة للحصول على مزيد من المعلومات السياقية، وتحديد ما إذا كان الهجوم ناجحًا بشكل أكثر دقة، وتقليل احتمالية اعتراض الطلبات العادية عن طريق الخطأ.
ولتحقيق هذه الغاية، قامت Cloudflare بتطوير قدرة WAF جديدة تسمى "الكشف الكامل عن المعاملات". تجمع هذه الآلية بين إشارات الطلب والاستجابة في نفس معاملة HTTP لتحليلها. عندما تؤكد قواعد الكشف أن المعاملة تلبي خصائص الهجوم، يمكن اعتراض محتوى الاستجابة من الخادم المصدر قبل إعادته إلى الطالب.
إن قواعد الحماية المنشورة لـ php2shell هي أول قواعد كشف مُدارة تم إطلاقها بواسطة Cloudflare باستخدام هذه الإمكانية الجديدة. وتعتقد الشركة أنه من خلال التحليل الشامل للطلبات والاستجابات، يمكنها تحديد الهجمات المعقدة مع تقليل الأحكام الخاطئة المحتملة الناجمة عن الاعتماد فقط على خصائص الطلب.
فيما يتعلق بالنشر المحدد، ذكرت Cloudflare أن مستخدمي الحزمة المجانية لا يحتاجون إلى تمكين قواعد الحماية الجديدة يدويًا. تم نشر القواعد ذات الصلة تلقائيًا في مجموعة القواعد المجانية التي تستضيفها Cloudflare. توفر الحزم المدفوعة الحماية من خلال مجموعات القواعد المُدارة بواسطة Cloudflare. يجب على مستخدمي الإصدارات Professional وBusiness وEnterprise التأكد من تمكين مجموعات القواعد ذات الصلة وفي وضع الحظر، بدلاً من مجرد تسجيل أحداث الهجوم.
تنشر Cloudflare أيضًا قواعد الحظر الافتراضية لتوقيعات الهجوم عالية الثقة في القواعد الافتراضية لجدار حماية الاستجابة المُدارة. يمكن للمستخدمين الدخول إلى واجهة تحليل الأمان لعرض الطلبات التي تم اعتراضها ومطابقة القواعد والمسارات ذات الصلة لفهم ما إذا كان موقع الويب الخاص بهم يتعرض للهجوم. بالنسبة للعملاء الذين يحتاجون إلى مزيد من التحكم الدقيق، يمكن أيضًا تعديل نطاق مجموعات القواعد المُدارة.
ومع ذلك، أكدت Cloudflare مرارًا وتكرارًا على أنه لا يمكن استخدام حماية WAF إلا كجزء من الدفاع المتعمق ولا يمكن أن تحل محل تصحيح PHP الرسمي. حتى إذا تم تمكين جدار الحماية Cloudflare على موقع الويب، فلا يزال يتعين على المسؤولين تحديث برنامج PHP الفعلي الذي يعمل على الخادم في أقرب وقت ممكن. والسبب هو أن WAF يقلل المخاطر بشكل أساسي من خلال تحديد وحظر حركة مرور الهجوم المعروفة أو القابلة للاكتشاف، في حين أن الثغرة الأمنية نفسها لا تزال موجودة في بيئة تشغيل PHP غير المصححة. بمجرد أن يتبنى المهاجم طريقة هجوم جديدة، أو لم يتم تحديد الطلب بدقة من خلال القواعد الحالية، فقد يظل النظام في خطر.
بالنسبة للمؤسسات التي لا يمكنها إكمال الترقية على الفور، توصي Cloudflare بالاستمرار في تمكين حماية WAF، مع الحد من وظائف تحميل الملفات غير الضرورية، ووضع حدود معقولة لحجم الملف لواجهات التحميل التي يجب الاحتفاظ بها. يمكن أن تساعد هذه الإجراءات في تقليل تعرض بعض مسارات الهجوم، لكنها لا تستطيع حل مشكلة الثغرات الأمنية بشكل كامل. بالنسبة لمواقع الويب التي تستخدم الاستضافة المُدارة، إذا لم يتمكن المشغل من إدارة إصدار PHP مباشرةً، فيجب عليه الاتصال بموفر خدمة الاستضافة في أقرب وقت ممكن للتأكد مما إذا كان قد قام بنشر تحديثات الأمان الرسمية.
ذكرت Cloudflare أن فريق التحليل الأمني الخاص بها سيستمر في مراقبة أنشطة الهجوم وتحديث قواعد الحماية بناءً على التقنيات الجديدة ومتغيرات الحمولة التي يعتمدها المهاجمون. توصي الشركة أيضًا بأن يستمر المستخدمون في الاحتفاظ بحماية WAF ذات الصلة أثناء إصلاح ثغرات PHP لتشكيل دفاع متعدد الطبقات.
يسلط هذا الحادث الضوء على أهمية آليات الاستجابة لأمن الإنترنت. بالنسبة لثغرات البرامج الأساسية التي لها تأثير واسع ويمكن استغلالها عن بعد، فإن مجرد إطلاق التصحيح لا يكفي لضمان استعادة جميع مواقع الويب على الفور إلى الأمان، لأن سرعة التحديث وإمكانيات الصيانة وطرق إدارة الخادم لمختلف المشغلين تختلف اختلافًا كبيرًا. ينشر موفرو الخدمات السحابية قواعد الحماية مسبقًا لتوفير وقت ثمين بين إصدار التصحيح والتثبيت على نطاق واسع.
ولكن على المدى الطويل، لا يزال الحل الأكثر موثوقية هو الترقية إلى إصدار الإصلاح الذي تم إصداره رسميًا من PHP. يمكن أن توفر تدابير الحماية المؤقتة لـ Cloudflare حواجز إضافية لمواقع الويب، لكنها لا تضمن حظر جميع أشكال الهجوم المختلفة. بالنسبة لمواقع الويب التي تعمل بلغة PHP، لا يزال إصلاح بيئة التشغيل الأساسية في الوقت المناسب، والحفاظ على تمكين قواعد جدار الحماية، والفحص المستمر للطلبات غير الطبيعية، من الإجراءات الأساسية للتعامل مع ثغرة php2shell هذه.
مقالات ذات صلة:
كشف PHP عن ثغرات أمنية خطيرة، ودخل مشغلو مواقع الويب العالمية في حالة تصحيح عاجلة
التعليقات