أمازون: هجمات استهدفت ثغرة PHP2Shell قبل إصدار التحديثات بأربعة أيام

أعلنت شركة أمازون أن مهاجمين بدأوا في 17 أكتوبر 2026 استكشاف خوادم معرّضة لثغرتين حرجتين في لغة البرمجة PHP تُعرفان مجتمعتين باسم PHP2Shell، أي قبل أربعة أيام من إصدار التحديثات في 21 أكتوبر 2026. ونقلت صحيفة SecurityWeek عن أمازون أن المحاولات الأولى جاءت من شبكة إخفاء هوية قبل أن تصبح الثغرتان معروفتين علنًا.

وقالت أمازون إن ما يبدو أنه عدة مهاجمين متورطون، وإن PHP2Shell باتت تُستغل على نطاق واسع. وكانت تفاصيل الثغرتين قد تسربت على الإنترنت في 20 أكتوبر 2026، وانتشرت أكواد الهجوم بسرعة بعد ذلك.

ملايين المحاولات و1.57 مليون خادم دون تحديث

كتب Matthew Prince، الرئيس التنفيذي لشركة Cloudflare، أن محاولات الهجوم ارتفعت من آلاف قبل الكشف عن الثغرتين إلى مئات الآلاف خلال ساعتين، ثم إلى ملايين. في المقابل قالت شركة الأمن WatchTowr إن معظم أكواد الهجوم المتداولة لا تعمل أو لا تؤدي إلا إلى تعطّل الخوادم المستهدفة.

وأحصت شركة Censys نحو 1.57 مليون خادم PHP متصل بالإنترنت لم يكن محدّثًا حتى 21 أكتوبر 2026، بينما ذكرت VulnCheck أن مليون خادم على الأقل يعمل بإصدارات PHP انتهى دعمها.

وأصدرت وكالة الأمن السيبراني وأمن البنية التحتية الأميركية CISA في 21 أكتوبر 2026 توصية بالتحديث فورًا إلى PHP 8.5.12 أو 8.4.27 أو 8.3.36 أو 8.2.35. وأصدرت مؤسسة PHP وشركاؤها في القطاع التحديثات في اليوم نفسه بعد أسابيع من إعدادها والتحقق منها.

وقارن خبراء PHP2Shell بثغرة Log4Shell في مكتبة Log4j، إذ كان من الصعب في تلك الحادثة تحديد مواضع استخدام المكتبة المصابة.