تتيح الثغرتان، في ظروف تشغيل معينة، للمهاجم إرسال طلبات خبيثة إلى الخادم واستغلال خلل في إدارة الذاكرة لتنفيذ أوامر برمجية، حتى قبل أن يبدأ الموقع في معالجة الطلب عبر التطبيق...

أعلن فريق تطوير لغة البرمجة "بي إتش بي" اكتشاف ثغرتين أمنيتين خطيرتين قد تسمحان للمهاجمين بالسيطرة على خوادم مواقع إلكترونية وتنفيذ شفرات برمجية ضارة عن بُعد، دون الحاجة إلى تسجيل الدخول، ما دفع إلى إصدار تحديثات أمنية عاجلة وتحذيرات من محاولات استغلال واسعة النطاق.

وبحسب تقرير نشرته "الجزيرة نت"، أصدر الفريق تحديثات أمنية في 21 أكتوبر/ تشرين الأول 2026 لمعالجة الثغرتين، اللتين تؤثران في بيئة تشغيل اللغة المستخدمة على نطاق واسع في تطوير المواقع والتطبيقات الإلكترونية.

وصنّفت "وكالة الأمن السيبراني السنغافورية" الثغرتين ضمن المخاطر الأمنية الحرجة، ومنحت كلًا منهما درجة خطورة تبلغ 9.2 من أصل 10 وفق الإصدار الرابع من النظام المشترك لتقييم الثغرات الأمنية، داعية المؤسسات إلى تحديث أنظمتها فورًا.

وتُعرف الثغرتان باسم "بي إتش بي تو شيل"، وتحملان المعرّفين الأمنيين "سي في إي-2026-109618" و"سي في إي-2026-109619".

وتنبع خطورتهما من ارتباطهما بآليات أساسية في بيئة تشغيل "بي إتش بي" نفسها، وليس بالضرورة بالأخطاء التي قد يرتكبها مطورو المواقع عند كتابة التطبيقات.

وتتيح الثغرتان، في ظروف تشغيل معينة، للمهاجم إرسال طلبات خبيثة إلى الخادم واستغلال خلل في إدارة الذاكرة لتنفيذ أوامر برمجية، حتى قبل أن يبدأ الموقع في معالجة الطلب عبر التطبيق.

وتتعلق الثغرة الأولى بخلل في التعامل مع حالات نفاد الذاكرة أثناء تنفيذ العمليات البرمجية.

فعندما لا تتوافر ذاكرة كافية لمواصلة معالجة طلب معين، قد تتوقف العملية قبل اكتمال تهيئة بعض البيانات الداخلية، ثم تتعامل إجراءات التنظيف اللاحقة مع تلك البيانات غير المكتملة كما لو كانت سليمة، ما يفتح مسارًا محتملًا لتنفيذ شفرات ضارة.

أما الثغرة الثانية، فترتبط بمشكلة تُعرف باسم "استخدام الذاكرة بعد تحريرها"، وتحدث عندما يستمر البرنامج في التعامل مع مساحة من الذاكرة سبق تحريرها، بدلًا من استخدام بيانات صالحة ومهيأة بصورة صحيحة.

وقد يسمح هذا الخلل، في ظروف محددة، للمهاجم بالتأثير في معالجة الطلبات اللاحقة والتحكم في مسار تنفيذ البرنامج.

وتكمن إحدى أبرز المخاطر في إمكانية استغلال الثغرتين دون امتلاك المهاجم حسابًا على الموقع المستهدف، إذ يمكن أن تبدأ العملية عبر طلب إلكتروني مصمم لاستثارة الخلل داخل بيئة التشغيل.

وأوضحت شركة "داتادوغ"، في تحليل أمني، أن أنظمة تسجيل الدخول والمصادقة على مستوى التطبيق قد لا تمنع هذه الهجمات إذا عالجت بيئة "بي إتش بي" الطلب الخبيث قبل وصوله إلى الشفرات المسؤولة عن التحقق من هوية المستخدم.

وفي حال نجاح الاستغلال، قد يتمكن المهاجم من تنفيذ أوامر ضمن الصلاحيات الممنوحة للعملية التي تشغّل الخادم، وهو ما قد يتيح الوصول إلى بيانات حساسة أو تشغيل برامج ضارة أو زرع ملفات تسمح بالعودة إلى النظام لاحقًا.