باحث أمني يرصد 35 تنفيذًا لأوامر على خوادم مصيدة عبر ثغرة PHP
خوادم مصيدة شغّلت PHP 8.4.26 عبر Apache mod_php تعرضت لهجمات طابقت طريقة استغلال CVE-2026-109618، وفق تحليل نشره الباحث.
رصد الباحث الأمني في شركة Perplexity، أديل كريمی، 35 عملية تنفيذ لأوامر على 3 خوادم مصيدة في 24 أكتوبر 2026، وفق تحليل نشرته منصة dailysecu.com. واستُخدم في الهجمات عنوانان من نوع IP: الأول نفّذ 3 أوامر والثاني 32 أمرًا.
كانت الأنظمة المستهدفة تعمل بإصدار PHP 8.4.26 عبر Apache mod_php. واعتمد الهجوم على طلبات HTTP متعددة المراحل لاستنزاف ذاكرة PHP وتسريب معلومات من الذاكرة الداخلية ثم تنفيذ أوامر.
وأوضح التحليل أن مسار الهجوم طابق الكود التجريبي المنشور وطريقة استغلال الثغرة CVE-2026-109618. ولم تُرصد أنشطة خبيثة لاحقة مثل تنزيل برمجيات إضافية.
وفي سياق سابق، أُعلن في 21 أكتوبر 2026 عن الثغرتين CVE-2026-109618 وCVE-2026-109619 تحت اسم PHP2Shell، وكلتاهما بتقييم 9.2 ضمن تصنيف CVSS v4.0. ورصد فريق أمني في Deutsche Telekom طلبات مشابهة لكود الاستغلال بعد الإعلان عن الثغرة مباشرة، كما رصدت Amazon Threat Intelligence محاولات هجوم من 17 أكتوبر 2026 قبل الإعلان الرسمي.
وأصدر فريق تطوير PHP إصدارات مصححة هي PHP 8.5.12 و8.4.27 و8.3.36 و8.2.35، وأوصى بالتحديث الفوري.
أسئلة سريعة
ما هي الثغرة PHP2Shell؟
هي الاسم الجماعي للثغرتين CVE-2026-109618 وCVE-2026-109619، وكلتاهما بتقييم 9.2 ضمن تصنيف CVSS v4.0، وأُعلن عنهما في 21 أكتوبر 2026.
ما الإصدارات المصححة من PHP؟
PHP 8.5.12 و8.4.27 و8.3.36 و8.2.35، ويوصي فريق تطوير PHP بالتحديث الفوري.