مؤسس Binance CZ يحذّر من تصفح أي موقع بعد محاولات هجوم بملايين على PHP

Coinbase وBitGo تنفيان أي تعرّض

ارتفعت محاولات الهجوم على ثغرات PHP المُعلَن عنها حديثًا إلى ملايين المحاولات، وترجّحت أكبر شركات العملات الرقمية الخميس 22 أكتوبر بإصدار بيانات توضح ما إذا كانت أنظمتها قد تضررت. وتُنقل Coinbase (COIN) وBitGo بأنهما لم يكشفا أي دليل على تعرّض بنيتيهما التحتية، فيما أفادت Binance بأنها طبّقت إجراءات وقائية قبل توزيع رقعة الأمان الرسمية وأكملت الاستجابة التي تراها كافية. وحتى لحظة إعداد هذا التقرير، لم يُسجَّل أي اختراق لشركة في القطاع ولا أي خسارة لأموال المستخدمين. ويحذّر مؤسس Binance المشارك تشانغبنغ تشاو، المعروف في الصناعة باسم CZ، المستخدمين من أخذ حذرٍ شديد عند زيارة أي موقع إلكتروني خلال الأيام المقبلة؛ إذ يخشى أن يتحول موقعٌ بطيء في التحديث إلى قناة لسرقة بيانات تسجيل الدخول أو لمهاجمة جهاز الزائر. وتتيح فئة الثغرات التي تدور حولها الفضيحة للمهاجم تنفيذ شيفرة على الخادم دون تسجيل دخول مسبق. أصدر فريق تطوير PHP نسخة مُرقَّعة يوم الأربعاء 21 أكتوبر، لكن كل مشغّل موقع مطالبة بتثبيتها بنفسه. وتُظهر بيانات البنية التحتية حجم المسح الضخم: سجّلت Cloudflare ارتفاع المحاولات إلى مئات الآلاف خلال ساعتين من الإفصاح، ثم إلى الملايين بعده. وقالت Amazon إنها رصدت محاولات منذ السبت 17 أكتوبر، أي قبل أن تصبح الثغرات علنية. كما ظهرت مشكلة شهادات منفصلة لدى الجهة الهندية eMudhra، حيث حملت ثماني شهادات وسيطة مفاتيح خاصة ضعيفة بدرجة غير معهودة، وهي تركيبة تتيح للمهاجم تزوير شهادات تنتحل صفة منصات التداول. وقد شرعت المتصفحات في حظرها، غير أن برامج التداول التي تحتفظ بقوائم شهادات خاصة بها قد لا تفعل ذلك. وطالبت Lightning Labs مستخدمي برمجياتها الخاصة ببيتكوين وشبكة Lightning Network بالتحديث فورًا. وتوصي الإرشادات العملية المتداولة مع التنبيه المستخدمين بالوصول إلى المنصات عبر المواقع الرسمية المحفوظة في العلامات المرجعية فقط، بعدم الثقة في النوافذ المنبثقة العاجلة التي تطلب تحديثات، وبمقارنة كل عنوان إيداع بعنوان محفوظ سلفًا قبل الإرسال.

الثغرتان CVE-2026-109618 وCVE-2026-109619

يقوم هذا التحذير على ثغرتين حرجتين في لغة PHP، لغة الخوادم التي تشغّل حصة كبيرة من الويب، ومن بينها كل موقع WordPress. وجرى إصلاح الثغرتين في إصدار أمني طارئ يوم 21 أكتوبر، بعد تسريب تفاصيلهما قبل الإفصاح المقرر. وتُسجَّل الثغرتان بالرمزين CVE-2026-109618 وCVE-2026-109619، ولا تتطلبان من المهاجم تسجيل دخول. وقد كتب CZ على منصة X يوم 21 أكتوبر أن الناس قد يصفونه بالمبالغ المتخوّف، لكن عليهم توخي أقصى الحذر عند زيارة أي موقع خلال الأيام المقبلة، لأن بعض مشغّلي المواقع لا يحافظون دائمًا على تحديث أنظمة أمانهم. وأضاف أن استغلال الثغرتين جرى تأكيده في الواقع العملي بعد الإفصاح بوقت قصير. ويختلف وصف مؤسسة PHP لإصدار الترقيع في نقطة واحدة: فبيانها يقول إن أرقام الـCVE بدأت بالتجوال على الإنترنت يوم الثلاثاء 20 أكتوبر مصحوبة بتاريخ إصدار خاطئ ودرجة خطورة معلَنة قدرها 10 من 10، بينما الدرجة الفعلية هي 9.2. وقد نشرت Calif، إحدى الجهات التي أبلغت عن الثغرتين، بالخطأ مقطعًا مرئيًا يشرح طريقة الاستغلال، فيما أرسلت Chainguard نسخًا مُرقَّعة قبل الموعد المتفق عليه بأكثر من ست ساعات. وتؤكد المؤسسة أنها لم ترصد أي استغلال حقيقي قبل خروج التحديث، في خلاف مع تصريح CZ اللاحق. وتحركت الوكالات الحكومية للأمن السيبراني بالتوازي: فنصحت وكالة NSA مستخدمي PHP بالاستعداد للتحديثات وإخراج الأنظمة المتأثرة من الخدمة إذا تعذّر الترقيع الفوري، فيما كررت شعبة الإنترنت التابعة لمكتب FBI التوصية وطلبت من المشغّلين مراقبة عمليات PHP التي تفتح أوامر نظام بصورة غير متوقعة. وعلى صعيد منصات العملات الرقمية، أكدت نينا رونغ من BNB Chain أن الشبكة نفسها لا تشغّل PHP. وقالت PancakeSwap، وهي أكبر بورصة لامركزية (DEX) على BNB Chain، إن أيًّا من بنيتها التحتية لا يستخدم PHP وأن أموال المستخدمين آمنة، وأعاد CZ نشر ذلك البيان مع تعليق مفاداه أن معظم المشاريع ينبغي أن تنشر على الأقل تأكيدًا من هذا النوع.

@NSACyber · منشور على X

PHP.

عرض على X

التسريب قبل الترقيع

تحدّد ملاحظة إصدار مؤسسة PHP، الوثيقة الأصلية في هذا الملف، نافذة الخطر بدقة: فتفاصيل الثغرتين كانت تنتقل على الإنترنت يوم 20 أكتوبر ولم تصل الترقعة إلا يوم 21 أكتوبر، ما أبقى الخوادم غير المُرقَّعة نحو يومٍ كامل مع دليل استغلال عملي متاح للعموم. وهذا التفاوت، مع درجة خطورة معلَنة قدرها 10 مقابل 9.2 فعليًا، ومورّد يقدم نسخًا مُرقَّعة قبل ست ساعات من الموعد، يشير مجتمعةً إلى مسار إفصاح منسّق تحت ضغط واضح لا إلى دورة ترقيع اعتيادية. أما التعرّض المتبقي لمستخدمي العملات الرقمية فهو أضيق مما توحي بالعناوين: فلا اختراق لأي منصة ولا خسارة لأي أموال مستخدمين جرى تأكيدها حتى الآن. والخطر العملي هو استبدال العنوان على موقع مخترَق، ومحفظة الأجهزة، رغم أنها تعرض عنوان الإرسال، لا تستطيع الحكم على ما إذا كان موقع مخترَق قد عرض عنوانًا مزيّفًا.