ماذا حدث؟

في 20 أكتوبر، نُشرت على أحد المنتديات رسالة حُذفت لاحقاً، تصف ثغرتين لم تكونا معروفتين من قبل في لغة PHP، مرفقة بفيديو لأداة تحمل اسم «PHP2Shell». وأمام هذا التسريب، قدّم فريق أمن PHP موعد الإصدار ونشر التصحيحات في اليوم التالي مباشرة، أي في 21 أكتوبر.

  • ثغرتان: CVE-2026-109618 وCVE-2026-109619، بتقييم خطورة 9.2 من 10 (CVSS v4.0).
  • تنفيذ أوامر عن بُعد دون مصادقة: يستطيع المهاجم أن يجعل الخادم ينفّذ أوامره الخاصة، دون الحاجة إلى حساب.
  • الإصدارات المصحّحة: PHP 8.5.12 و8.4.27 و8.3.36 و8.2.35.
  • انتشار واسع: بحسب شركة Mallory التي نقل عنها موقع The Hacker News، كان نحو 884 ألف خادم متصل بالإنترنت يُظهر إصدار PHP 8.1 أو أقدم.

وفي اليوم نفسه، أعلنت Cloudflare أنها رصدت هجمات أولية ونشرت قواعد حماية، بينما لم ترصد Patchstack حتى ذلك الوقت سوى محاولات استطلاع، دون دليل قاطع على اختراقات فعلية. الوضع يتطور بسرعة، ويبقى التحديث هو الحماية الوحيدة الموثوقة.

ما علاقة ذلك ببطاقات الدخول؟

نظام التحكم في الدخول لا يقتصر على القارئات المثبتة على الجدار. فخلفها يوجد دائماً تقريباً برنامج إدارة: واجهة ويب تُنشأ فيها حسابات المستخدمين، وتُمنح الصلاحيات، ويُراجع فيها سجل الدخول، وغالباً ما يُتحكم منها في فتح الأبواب عن بُعد. هذه الواجهات تعتمد على تقنيات ويب تقليدية وتعمل على خوادم تحتاج هي أيضاً إلى التحديث.

وهنا تتغير طبيعة الخطر. فالمهاجم الذي يسيطر على هذا الخادم لم يعد بحاجة إلى استنساخ بطاقة. وبحسب طبيعة النظام، قد يتمكن من:

  • إنشاء حساب لنفسه ومنح نفسه صلاحية الدخول إلى أي باب؛
  • إعادة تفعيل بطاقة كان يُفترض أنها أُلغيت؛
  • فتح باب عن بُعد؛
  • حذف سجل الدخول أو تعديله لإخفاء أثره.

لا يوجد حتى الآن ما يشير إلى أن أنظمة التحكم في الدخول استُهدفت بثغرة PHP2Shell، لكن هذه الحادثة تذكّرنا بحقيقة كثيراً ما تُنسى: الأمن المادي يعتمد أيضاً على الأمن المعلوماتي. وهذا أحد أشكال «الدَّين الأمني» الذي تحدثنا عنه بالأمس: خوادم تعمل بشكل طبيعي، لكن لا أحد يتذكر تحديثها.

ماذا تفعل الآن؟

  1. الجرد: حصر جميع الخوادم التي تستخدم PHP، بما فيها خوادم المراقبة بالكاميرات والاتصال الداخلي والتحكم في الدخول. وعند الشك، اسأل المورّد أو شركة التركيب.
  2. التحديث: الانتقال إلى إصدار مصحَّح، بدءاً بالخوادم المكشوفة على الإنترنت.
  3. العزل: برامج إدارة الدخول لا تحتاج عادةً إلى أن تكون مكشوفة على الإنترنت. والوصول عبر شبكة VPN مع شبكة منفصلة يقلل الخطر كثيراً.
  4. المراقبة: الانتباه إلى أي إشارات غير طبيعية، مثل حسابات مدير جديدة، أو صلاحيات معدّلة، أو فتح أبواب عن بُعد في أوقات غير معتادة.
  5. حماية حسابات الإدارة: كلمات مرور فريدة والمصادقة الثنائية.

نهج AuthFlash

لا توجد تقنية تُغني عن تأمين الخوادم، وAuthFlash ليست استثناءً. لكن تصميم النظام يحدّ مما يمكن أن يحصل عليه المهاجم. فمع AuthFlash، أحد حلول BatyTech، لم تعد البطاقة معرّفاً ثابتاً مخزّناً في مكان ما: عند المرور، يرسل فلاش الهاتف الذكي مفتاحاً مشفّراً مؤقتاً، يستقبله قارئ ضوئي في خط النظر فقط، ثم يتحقق الخادم من هذا الرمز المتغيّر ويرفض أي محاولة لإعادة استخدامه.

والنتيجة: قائمة معرّفات مسروقة لا تكفي لصنع نسخ، والرمز الذي استُخدم مرة لا قيمة له بعد ذلك. وتُدار الصلاحيات من منصة مركزية وواجهة برمجية (API)، ما يسمح بإلغاء أي صلاحية فوراً عند وقوع حادث. التقنية محل طلب براءة اختراع قيد الدراسة، ومن المقرر نشرها في حرم مدرسة EFREI Paris من نوفمبر 2026 إلى مارس 2027 (تقديرياً). يمكنك تجربتها في العرض التفاعلي.

الخلاصة

ثغرة PHP2Shell هي قبل كل شيء حالة طوارئ للمواقع الإلكترونية، لكنها أيضاً تذكير مهم: الباب ليس أكثر أماناً من الخادم الذي يتحكم فيه. فتحديث برامج إدارة الدخول وعزلها ومراقبتها جزء من الأمن المادي، تماماً مثل اختيار البطاقات المناسبة. لمراجعة منظومتك، تواصل مع فريق AuthFlash.

المصادر