تُطور VulnCheck استغلال PHP2Shell يتجاوز ASLR على أنظمة الإنتاج

طوّر باحثو الأمن في VulnCheck استغلالاً لثغرة PHP2Shell يتجاوز عشوائية تخطيط مساحة العنوان (ASLR) على خوادم x86-64 التي تشغّل التكوين الإنتاجي الموصى به لـ PHP. يستهدف الاستغلال CVE-2026-109618، وهو خطأ حرج في تلف الذاكرة يؤدي إلى تنفيذ تعليمات برمجية عن بعد في PHP، ويشكل مع CVE-2026-109619 زوج PHP2Shell.

تفاصيل تقنية للاستغلال

أعلنت مؤسسة PHP رسمياً عن الثغرتين وأصدرت تصحيحات لهما في 21 أكتوبر 2026. طوّر باحثو VulnCheck استغلالهم خلال ليلة واحدة، ووصلوا، بحسب تقديرهم، إلى أول تنفيذ معروف لتعليمات برمجية عن بعد على أنظمة x86-64 المفعّلة بـ ASLR، مع PHP 8.4.26 وإعداد الإنتاج الموصى به display_errors=off. تعتمد التقنية على تسرب مؤكد للذاكرة يُسلسَل إلى تنفيذ التعليمات البرمجية عن بعد. يعمل الاستغلال أيضاً على منصات ARM64، لكن مكوّن تنفيذ التعليمات البرمجية عن بعد غير فعّال حالياً على الأنظمة المستندة إلى ARM.

ASLR دفاع مدمج ضد أخطاء تلف الذاكرة، وهو يرتب عشوائياً مواقع الذاكرة لمناطق البيانات الرئيسية للبرنامج في كل مرة يُشغَّل فيها. ويمنع ذلك المهاجمين من التخمين الصحيح لعناوين الذاكرة المستهدفة اللازمة لتنفيذ تعليمات برمجية ضارة. حتى الآن كان ASLR حاجزاً رئيسياً أمام استغلال PHP2Shell على خوادم العالم الحقيقي. صرّح سبنسر ماكنتاير، مدير تطوير الاستغلال في VulnCheck، بأن تطوير هذه القدرة لم يكن سهلاً على الإطلاق، لكنه يوضح أن حاجزاً رئيسياً أمام استغلال PHP2Shell على أنظمة مهيأة للإنتاج يمكن تجاوزه.

الآثار على المؤسسات

حذّر ماكنتاير من أن المؤسسات التي تشغّل إصدارات PHP المعرضة للثغرات يجب أن تعطي الأولوية للتصحيح بدلاً من افتراض أن حمايات الذاكرة الحالية أو تغييرات التكوين ستوقف الهجوم. وأكد أن الصعوبة التقنية لاستغلال ثغرة ما لا ينبغي الخلط بينها وبين الحماية منها، خصوصاً في عصر صيد الأخطاء وتطوير الاستغلال بمساعدة الذكاء الاصطناعي. وأتاحت VulnCheck الاستغلال لعملاء Initial Access Intelligence فقط.

تطوير التهديدات المدعوم بالذكاء الاصطناعي

حذّرت VulnCheck أيضاً من أن الجهات الفاعلة في التهديد تستخدم الذكاء الاصطناعي للعثور على طرق إضافية لمهاجمة ثغرات PHP2Shell. ولاحظ ماكنتاير أن الخصوم ينفقون بوضوح الوقت والموارد الحسابية على هذا الخلل. ورصدت الشركة مئات مستودعات إثبات المفهوم الخاصة بـ PHP2Shell على GitHub، لكن قليلاً جداً منها يحتوي على استغلالات فعّالة، ويعود ذلك إلى حد كبير إلى ASLR. وقد تفاقم الوضع مع تقارير عن استغلال المهاجمين لهذه العيوب قبل أيام من الكشف عنها، وإغلاق مواقع الحكومة البريطانية بشكل استباقي استجابةً للتهديد.

تغطية سابقة: تصحيحات PHP2Shell متاحة: ما هو معرض للخطر وكيفية حماية مواقع PHP · استغل القراصنة ثغرات PHP قبل أيام من إصدار التصحيحات

المصادر: The Register