تدريبتدريبات المباني الذكيةتونس · صفاقس · سوسة · جربة · المواعيد القادمةعرض التقويم
ExaBuilding
إدارة المباني

PHP2Shell: ثغرة حرجة تعني المباني المتصلة أيضًا

أسامة بن جميعOussama Ben Jemiaنُشر في 23 أكتوبر 2026

*لمن هذا المقال: *مستغلو المباني ومالكوها، والمُدمِجون، ومكاتب الدراسات، والمسؤولون عن المعلوماتية.

تم التحديث في 22 أكتوبر 2026. الوضع في تطور: سنُكمل هذا المقال إذا تغيّرت النشرات الرسمية.

في 21 أكتوبر 2026، نشر فريق ⁦PHP⁩ بشكل عاجل تصحيحات لثغرتين حرجتين أُطلق عليهما اسم «⁦PHP2Shell⁩». تشغّل هذه اللغة جزءًا كبيرًا من مواقع الويب في العالم، ولكن أيضًا العديد من واجهات المعدات الفنية. ولهذا لا يخص هذا التنبيه مواقع الإنترنت وحدها.

باختصار (حتى 22 أكتوبر 2026)

  • ثغرتان في ⁦PHP⁩، هما ⁦CVE-2026-109618⁩ و⁦CVE-2026-109619⁩، قد تسمحان في بعض الإعدادات بالسيطرة على خادم عن بُعد، دون كلمة مرور.
  • المشكلة عالمية: ⁦PHP⁩ مستخدمة في كل مكان، وقد نشرت وكالات الأمن السيبراني في عدة دول تنبيهات، منها ⁦CERT-FR⁩ في فرنسا و⁦NCSC⁩ في المملكة المتحدة.
  • يطلب ⁦NCSC⁩ أيضًا متابعة تحديثات المصنّعين بالنسبة إلى المعدات التي تتضمن ⁦PHP⁩. والمنشآت الفنية للمباني من بين الأنظمة التي يجب التحقق منها.

تنبيه عالمي في 48 ساعة

كان من المقرر الكشف عن تفاصيل الثغرتين بشكل منسّق في 22 أكتوبر. وبحسب شركة الأمن ⁦watchTowr⁩، تسرّبت هذه التفاصيل على شبكات التواصل الاجتماعي منذ 20 أكتوبر، أي قبل صدور التصحيحات. فنشر فريق ⁦PHP⁩ تحديثاته بشكل عاجل في 21 أكتوبر، بعد أن أرسلها مسبقًا إلى توزيعات ⁦Linux⁩ وإلى المورّدين الذين يقدّمون دعمًا طويل الأمد.

ليست ⁦PHP⁩ برنامجًا كغيره: فهي مثبّتة على ملايين الخوادم في العالم. وفي غضون ساعات، تناقلت التنبيه وكالات الأمن السيبراني في عدة دول. وفي المملكة المتحدة، يحيل ⁦NCSC⁩ إلى قائمة بالمنتجات المعنية يعدّها نظيره الهولندي ⁦NCSC-NL⁩.

ما نعرفه (حتى 22 أكتوبر 2026)

ما أكدته المصادر الرسمية:

  • صحّحت ⁦PHP⁩ ثغرتين حرجتين، تقييمهما 9,2 من 10. وقد تسمحان بتنفيذ تعليمات برمجية عن بُعد دون مصادقة.
  • الإصدارات المصحّحة هي ⁦PHP 8.5.12⁩ و8.4.27 و8.3.36 و8.2.35.
  • لم يعد مشروع ⁦PHP⁩ يصون الإصدار 8.1 وما قبله. ونظرًا إلى خطورة الثغرتين، نشر فريقه الأمني مع ذلك تصحيحات دنيا للإصدارات 7.4 و8.0 و8.1، كما تقدّم بعض التوزيعات والمورّدين تصحيحات منقولة إلى الإصدارات القديمة.
  • بحسب فريق ⁦PHP⁩، يخص الخطر كل المنشآت التي تعالج طلبات الويب، ويكون في أعلى مستوياته مع الوحدة ⁦mod_php⁩ في ⁦Apache⁩.
  • يشير ⁦CERT-FR⁩ إلى علمه بوجود براهين على المفهوم (⁦proofs of concept⁩). ويوصي ⁦NCSC⁩ البريطاني بالتحديث دون انتظار، وإذا تعذّر تطبيق أي إجراء بسرعة، بالنظر في فصل النظام عن الشبكة.

ما أفادت به شركة أمن:

  • تشير ⁦watchTowr⁩ إلى أنها رصدت محاولات استغلال على شبكة الفخاخ التابعة لها (⁦honeypots⁩) منذ 21 أكتوبر. ولا تخص هذه الملاحظات، في هذه المرحلة، حوادث مؤكدة في مبانٍ متصلة.

ما يبقى بحاجة إلى تأكيد

  • الحجم الحقيقي للهجمات: حتى 22 أكتوبر، لا يذكر ⁦CERT-FR⁩ ولا ⁦NCSC⁩ استغلالًا فعليًا، ولم تكن الوكالة الأمريكية ⁦CISA⁩ قد أدرجت هاتين الثغرتين في فهرس الثغرات المستغلّة، بحسب ⁦watchTowr⁩، وهو ما لا يثبت غياب الهجمات.
  • قائمة المعدات والبرمجيات المعنية، التي يعمل المصنّعون على إعدادها.

لماذا تعني هذه الثغرة المباني المتصلة؟

تُعرف ⁦PHP⁩ أولًا بأنها لغة العديد من مواقع الويب. لكنها موجودة أيضًا في أماكن أخرى.

لدى الكثير من المعدات الفنية واجهة ويب مدمجة، يمكن النفاذ إليها من متصفح:

  • أجهزة الإشراف على أنظمة إدارة المباني (⁦GTB⁩) وخوادم العرض؛
  • البوابات بين البروتوكولات؛
  • الموجّهات، وجدران الحماية، ونقاط النفاذ ⁦Wi-Fi⁩؛
  • خوادم التخزين (⁦NAS⁩) وبعض أجهزة التسجيل.

لا تعني هذه القائمة أن هذه المعدات معرّضة للثغرة. فبحسب المصنّعين، قد تعتمد هذه الواجهات على ⁦PHP⁩، أو على لغة أخرى، أو على خادم ويب خاص. والمصنّع وحده يستطيع أن يحدد إن كانت معدّاته تستعمل ⁦PHP⁩، وبأي إصدار. وفي المقابل، فإن عدم معرفة ما إذا كان جهاز ما يستعمل ⁦PHP⁩ لا يثبت أنه محمي.

وهذا بالضبط ما يؤكده ⁦NCSC⁩ البريطاني. إذ يطلب من المؤسسات متابعة تحديثات مورّدي البرمجيات الخارجيين، «بما في ذلك المعدات والخدمات التي قد تتضمن ⁦PHP⁩».

بدأ كبار المصنّعين عمليات التحقق. فعلى سبيل المثال، تفحص ⁦Cisco⁩ قائمة طويلة من منتجاتها (الشبكات، والأمن، و⁦Wi-Fi⁩، والهاتف). وحتى 22 أكتوبر، لم يكن أي منها معروفًا بأنه متأثر، وأكدت ⁦Cisco⁩ أنها لا تعلم بأي استعمال خبيث لهاتين الثغرتين.

الفخ الحقيقي: المعدات التي لا تُحدَّث أبدًا

على خادم ويب عادي، الجواب بسيط: تثبيت الإصدار المصحّح من ⁦PHP⁩.

أما بالنسبة إلى جهاز فني، فالأمر مختلف. فالبرنامج مدمج في البرنامج الثابت (⁦firmware⁩) الخاص بالمصنّع. ولا يستطيع المستغل تحديث ⁦PHP⁩ بنفسه: عليه أن ينتظر تحديثًا يوفّره المصنّع، ثم يثبّته.

غير أن المعدات القديمة كثيرًا ما تتضمن إصدارات قديمة من ⁦PHP⁩، ويذكّر ⁦CERT-FR⁩ بأن إصدارات السلاسل 5 و7 و8.0 و8.1 لم تعد تُصان. وتوجد تصحيحات لبعضها، لكن يبقى على المصنّع أن يدمجها في تحديث لبرنامجه الثابت.

ونجد هنا سيناريو مشابهًا لما حدث مؤخرًا مع وحدات التحكم في منشآت التبريد. فبحسب ⁦Danfoss⁩، كانت أغلب الوحدات المتضررة منتجات قديمة لم تعد تتلقى تحديثات، وذكّر ⁦CERT-FR⁩ بأن واجهاتها ما كان ينبغي أن تكون معرّضة على الإنترنت. وقد فصّلنا ذلك في مقالنا حول الأمن السيبراني للمباني المتصلة.

ما العمل الآن؟

  1. جرد واجهات الويب. إعداد قائمة بالمعدات الفنية التي لها واجهة يمكن النفاذ إليها من متصفح، والتحقق من تلك التي يمكن الوصول إليها من الإنترنت؛
  2. عدم تعريض أي شيء مباشرة على الإنترنت. يوصي ⁦CERT-FR⁩ بعزل المعدات المعنية. ويجب أن يمر النفاذ عن بُعد عبر ⁦VPN⁩ أو نفاذ مُرشَّح، وليس أبدًا عبر واجهة مفتوحة. هذه الإجراءات تقلّص التعرّض، لكنها لا تصحّح الثغرة؛
  3. مراسلة المصنّعين والمُدمِجين. السؤال عمّا إذا كان الجهاز يستعمل ⁦PHP⁩، وبأي إصدار، وهل يُنتظر صدور تصحيح؛
  4. تطبيق التحديثات فور صدورها. بالنسبة إلى الخوادم التي تديرونها بأنفسكم، الانتقال إلى إصدار مصحّح من ⁦PHP⁩. ويوضح فريق ⁦PHP⁩ أن إجراءاته المؤقتة لا تجعل المنشأة آمنة: فهي لا تعوّض التحديث؛
  5. البحث عن مؤشرات الاختراق. قبل تصحيح نظام معرّض، ينصح ⁦NCSC⁩ بالتحقق من أنه لم يُخترق بعد، مثلًا عبر باب خلفي ثبّته مهاجم؛
  6. الفصل عن الشبكة كحل أخير. إذا تعذّر تصحيح نظام معرّض أو حمايته بسرعة، يوصي ⁦NCSC⁩ بالنظر في فصله عن الشبكة.

أسئلة شائعة

هل مبناي معنيّ إذا لم يكن لديّ موقع ويب؟

ربما. فالمسألة ليست امتلاك موقع ويب، بل معرفة ما إذا كانت لمعداتكم الفنية واجهة ويب تعتمد على ⁦PHP⁩. والمصنّع وحده يستطيع تأكيد ذلك لكل جهاز.

كيف أعرف إن كان جهاز ما يستعمل ⁦PHP⁩؟

بالاطلاع على النشرات الأمنية للمصنّع، أو بسؤاله مباشرة مع ذكر المرجع الدقيق للجهاز وإصدار برنامجه الثابت. ويمكن للمُدمِج مساعدتكم في إعداد هذا الجرد.

هل يجب إيقاف المعدات فورًا؟

ليس بالضرورة. الأولوية هي التحقق من أنه لا يمكن الوصول إليها مباشرة من الإنترنت. ولا يُنصح بالفصل عن الشبكة إلا كحل أخير، لنظام معرّض لا يمكن تصحيحه ولا حمايته بسرعة.

الخلاصة: درس يتجاوز ⁦PHP⁩

ستُصحَّح هذه الثغرة، كما صُحّحت ثغرات قبلها. لكنها تذكّر بحقيقة: يضم المبنى المتصل عشرات البرمجيات التي لا يراها أحد، ويجب معرفة وجودها لحمايتها.

المنشآت الأكثر صمودًا هي تلك التي صُمّمت لذلك منذ البداية: جرد محدَّث، وشبكات مجزّأة، ونفاذ عن بُعد متحكَّم فيه، وخطة تحديث طوال عمر المعدات.

لا يكفي أن يكون المبنى الذكي مُدمَجًا بإتقان. بل يجب أيضًا أن يكون قابلًا للصيانة والتأمين مع مرور الزمن.

في ⁦ExaBuilding⁩، يندرج هذا الشرط في كل مشروع، من تدقيق المنشآت القائمة إلى تصميم وإدماج الأنظمة الجديدة.

هل ترغبون في معرفة ما إذا كانت منشآتكم الفنية معرّضة؟ تحدّثوا إلى خبير

ملاحظة: يعرض هذا المقال الوضع حتى 22 أكتوبر 2026، استنادًا إلى النشرات الرسمية المتاحة في هذا التاريخ. وبالنسبة إلى كل جهاز، تبقى النشرة الأمنية للمصنّع هي المرجع.

المصادر

المصادر الرسمية

المصنّع

شركة أمن

أسامة بن جميع

Oussama Ben Jemia

تدريب ذو صلة : تكامل أنظمة المباني الذكية وتشغيلها البينيتدريب ذو صلة : الشبكات الرقمية (⁦IP⁩) للمباني الذكيةتدريب ذو صلة : تصميم وهندسة مشروع مبنى ذكي
خبرة ذات صلة : تصميم وتكامل المباني الذكيةخبرة ذات صلة : تدقيق المباني الذكية