المركز الإعلامي
أخبار القطاع
PHP2Shell: ما يجب أن يعرفه المتسوقون
ثغرتان خطيرتان في PHP، أُطلق عليهما اسم PHP2Shell، دفعتا أصحاب المواقع إلى الإسراع في التحديث هذا الأسبوع. إليك ما يعنيه ذلك للدفع عبر الإنترنت قبل Black Friday.
ما الذي حدث
في 21 أكتوبر، كشف باحثون عن ثغرتين خطيرتين في PHP، اللغة التي تشغّل جزءًا كبيرًا من الويب. وسرعان ما أصبحت الثغرتان، المسجّلتان برقمَي CVE-2026-109618 وCVE-2026-109619 والملقّبتان PHP2Shell، من أكثر المصطلحات الأمنية بحثًا في ذلك اليوم، بما في ذلك في تركيا. وحذّر المركز الوطني للأمن السيبراني في المملكة المتحدة (NCSC) من أن المشكلة قد تسمح للمهاجمين بتنفيذ أوامر على خوادم الويب التي تعمل بـ PHP، وأصدر فريق PHP الإصلاحات في اليوم نفسه.
التفاصيل
وفقًا لـ Cloudflare، كشفت عن الثغرتين كلٌّ من Calif.io وWiz وOpenAI وQuarkslab، وهما تؤثران في خوادم الويب التي تعمل بـ PHP 5.4 أو أحدث. وتتعلق الثغرتان بطريقة تعامل PHP مع الذاكرة عند فشل طلب ما، وقد تؤديان إلى حجب الخدمة أو تنفيذ تعليمات برمجية عن بُعد أو كشف البيانات. وتشير Malwarebytes إلى درجة خطورة 9.2 من 10، وتقول إن المهاجم لن يحتاج إلى تسجيل الدخول. والإصدارات المُصلَحة هي PHP 8.5.12 و8.4.27 و8.3.36 و8.2.35؛ أما PHP 8.1 والإصدارات الأقدم فلم تعد تتلقى تحديثات أمنية دورية.
ما حجم التعرّض للخطر
تقول Cloudflare، نقلًا عن W3Techs، إن نحو 70% من المواقع الإلكترونية تستخدم PHP، وتشير Malwarebytes إلى أنها أساس WordPress وDrupal وJoomla وMagento. وفعّلت Cloudflare قواعد جدار الحماية قبل نحو تسع ساعات من الإفصاح العلني، وتقول إنها رصدت بالفعل حركة هجومية، مع تعديل المهاجمين لحمولاتهم للتسلل عبر المرشّحات. وينصح NCSC المؤسسات بتحديد كل تثبيت لـ PHP وتحديثه، والنظر في فصل الأنظمة عن الشبكة إذا تعذّر إصلاحها أو الحد من الخطر بسرعة. ولهذا دخلت بعض المواقع وضع الصيانة هذا الأسبوع.
تنبيه ثانٍ: شهادات مُخترَقة
جاءت أخبار PHP بعد يوم من تحذير آخر شمل الإنترنت بأكمله وكان رائجًا أيضًا، في هونغ كونغ. فقد قالت Cloudflare إن المفاتيح الخاصة لثماني شهادات وسيطة من eMudhra، كانت المتصفحات وأنظمة التشغيل تثق بها على نطاق واسع، قد اختُرقت. وبهذه المفاتيح يستطيع المهاجم تزوير شهادة لأي نطاق وانتحال صفة أي موقع. ولم تجد Cloudflare أي استغلال نشط على خدماتها، وحثّت الناس على ألا يعالجوا أخطاء الشهادات أبدًا بإيقاف التحقق.
لماذا يهم ذلك في عالم المدفوعات
تعتمد صفحات الدفع وبوابات البنوك وموقع أي تطبيق لتحويل الأموال على خوادم الويب والشهادات نفسها. ولا يحتاج المتسوقون إلى تثبيت أي شيء: فتحديثات PHP لأصحاب المواقع لا لجهازك. وتنصح Malwarebytes بالانتباه إلى أي محتوى أو تنزيلات أو عمليات إعادة توجيه غير متوقعة أو طلبات متكررة لتسجيل الدخول، حتى على المواقع المألوفة، ومغادرة الصفحة إذا بدا شيء غير طبيعي. وتوقُّف موقع للصيانة ليس في حد ذاته دليلًا على اختراق.
ما الذي يجب متابعته لاحقًا
التوقيت مهم. تُظهر بيانات البحث في المملكة المتحدة من Captify، التي نقلتها ExchangeWire، أن نية البحث المتعلقة بـ Black Friday تتصاعد منذ أكتوبر وتقفز إلى أكثر من سبعة أضعاف مستوياتها المعتادة في أسبوع Black Friday. توقّع مزيدًا من إشعارات التحديث من شركات الاستضافة والمتاجر الإلكترونية في الأسابيع المقبلة، وتابع ما إذا كانت أي اختراقات سترتبط بـ PHP2Shell بعد انتهاء التحقيقات.
ماذا يعني ذلك لمستخدمي Odix Pay
الخطوات التالية ممارسات جيدة عامة. في تطبيق Odix Pay يمكنك إدارة بطاقات Odix: جمّد البطاقة بلمسات قليلة إذا بدت دفعة ما غير صحيحة، وهذا يؤثر في تلك البطاقة فقط، واستخدم بطاقة افتراضية للتسوق عبر الإنترنت. وبحسب بطاقتك، توافق على المدفوعات عبر الإنترنت في التطبيق أو برمز SMS. يعتمد التوفر على بلدك، وتُعرض الرسوم في التطبيق. مزيد من الأخبار في المركز الإعلامي لـ Odix Pay.
عمليات بحث ذات صلة
cve-2026-109618، PHP2Shell، ثغرة PHP، black friday 2026، شهادات eMudhra، تطبيق تحويل الأموال، أمان التسوق عبر الإنترنت، أمان البطاقة، تجميد البطاقة، بطاقة افتراضية، أمان المدفوعات عبر الإنترنت، Odix Pay
عن Odix Pay
تجمع Odix Pay بين بطاقتك وتطبيقك، لتتمكن من الدفع في المتاجر وعبر الإنترنت، وإرسال الأموال، وإدارة كل ذلك في مكان واحد. اقرأ هل Odix Pay آمنة؟
اكتشف Odix Pay
إخلاء مسؤولية: هذا المقال مقدَّم للمعلومات العامة فقط. وهو لا يُعد نصيحة قانونية أو مالية أو استثمارية أو أي نصيحة مهنية أخرى، ولا يُنشئ أي إقرار أو ضمان أو التزام تعاقدي من جانب Odix Pay. لا يشكّل أي شيء في هذا المقال عرضًا أو دعوة لشراء أو بيع أي منتج أو ورقة مالية أو أداة مالية أو خدمة ذات صلة، بما في ذلك في أي ولاية قضائية يكون فيها هذا النشاط مقيّدًا أو لا تقدّم فيها Odix Pay (وشركات مجموعتها، كما هي معرّفة في الشروط والأحكام) هذا المنتج أو الخدمة أو تروّج لهما.
كل الأخبار
