نشر باحثو شركة JFrog تحليلات جديدة حول الثغرات الأمنية المسماة PHP2Shell، والتي تم تحديدها تحت الرقمين المرجعيين CVE-2026-109618 وCVE-2026-109619. ووفقًا لهم، فإن هذه الثغرات لا تتطلب أي إعدادات خاصة أو إضافات، وهي تؤثر مباشرة على محرك PHP، لغة البرمجة المستخدمة في العديد من المواقع الإلكترونية.
لهذه الأعمال، يشير الباحثون إلى أنهم أعادوا بناء آلية عمل الثغرات قبل الكشف عنها علنًا. كما قاموا بتطوير براهين مفهوم (PoC)، وهي برامج تثبت إمكانية استغلال الثغرة، ويصفونها بأنها تعمل بشكل فعلي.
ثغرات تتجاوز حماية التطبيق
وفقًا لماسحات الأمان السياقية من JFrog، تؤثر الثغرات على معالجة طلبات POST متعددة الأجزاء (multipart) وكذلك ملفات تتبع تقدم الجلسات. يتم إعادة بناء البيانات الخبيثة (deserialized) من شكلها الخام، حتى قبل تنفيذ سكريبت التطبيق. وبالتالي، لا يمكن لأي منطق في التطبيق أن يمنع الكود الخبيث.
بحسب JFrog، يستغل الهاكر آلية في PHP مرتبطة بتقدم الجلسات ويعتمد على تسلسل كائنات وهمية للسيطرة على سجل RIP، وهو مكون يخبر المعالج بأي تعليمة ينفذ. وبهذا يمكن أن يتيح تنفيذ كود عن بعد دون مصادقة (RCE)، أو كشف محتوى الذاكرة، كما في حالة ثغرة Heartbleed.
استغلالات مزيفة منتشرة
بينما تعمل فرق الأمان على نشر التصحيحات، رصدت JFrog على منصة GitHub براهين مفهوم مزيفة للاستغلال. يتم توزيع هذه المحتويات من قبل جهات خبيثة تستفيد من حالة الارتباك، كما تنتشر برامج ضارة تهدف إلى خداع المستخدمين.
تشير JFrog إلى أن منتجاتها Xray وCatalog تتضمن الآن معلومات حول الثغرات CVE-2026-109618 وCVE-2026-109619. الهدف هو مساعدة الشركات على تحليل بيئاتها وتحديد الأنظمة المعرضة للخطر. التحليل التقني الكامل، الذي يشرح آليات الاستغلال بالتفصيل، متاح على مدونة JFrog للأبحاث.
يؤكد نيف لانيادو، قائد فريق الأبحاث الأمنية في JFrog، على ضرورة المراقبة الشاملة:
« مع ثغرات PHP2Shell، يجب أن تفهم الشركات أن الثغرة تنشط في قلب محرك PHP، حتى قبل تنفيذ كود التطبيق. لذلك لا يمكن للحماية التقليدية على مستوى التطبيق منعها، ولا يمكن لأي إجراء تحايل في كودها أن يعالجها. الرؤية الآلية عبر جميع البيئات أمر أساسي، خاصة لتحديد تثبيتات PHP القديمة أو التي انتهت دورة حياتها ولن تتلقى تحديثات ثنائية من الناشر بعد الآن. الهدف هو التأكد من أن كل نظام معرض يتم تصحيحه أو عزله فورًا. »
