SlowMist تحذر منصات البيتكوين (BTC) من ثغرتين حرجتين في PHP بدرجة 9.2 من 10

SlowMist ترصد ثغرتين حرجتين في PHP

أصدرت شركة الأمن الرقمي SlowMist تحذيراً عاجلاً يمس كل نقطة حفظ رئيسية في منظومة سعر البيتكوين وبيئته التشغيلية، من منصات التداول المركزية إلى مزودي المحافظ إلى التمويل اللامركزي على البيتكوين التي تشغّل خوادم متصلة بالإنترنت. ورصدت الشركة ثغرتين في لغة PHP، اللغة الخلفية التي تعتمد عليها نحو 70% من مواقع العالم تقريباً، ووضعت كلتيهما في أعلى سلّم الخطورة. الثغرتان مسجلتان تحت رقمي CVE-2026-109618 وCVE-2026-109619، وتحصل كل منهما على درجة 9.2 من 10 وفق إطار CVSS 4.0، وهو المقياس الذي تعتمده فرق الأمن لترتيب مدى خطر أي خلل. وفي ظروف معينة يستطيع المهاجم تنفيذ شيفرة خبيثة على خادم مهدد دون أي مصادقة على الإطلاق، أي أنّ الحاجز الأساسي الأول الذي تعتمده أي خدمة يزول. تحدث الثغرة الأولى بسبب طريقة تعامل PHP مع حالات نفاد الذاكرة على الخادم، بينما تخص الثانية بيانات في الذاكرة فقدت صلاحيتها بين الطلبات المتتالية ومع ذلك تبقى قابلة للقراءة. ولو نجح الاستغلال، فبإمكان المهاجم بحسب الإرشادي التلاعب بالبنية الخلفية للمخدمات والوصول إلى بيانات حساسة، وهو سيناريو تصنّفه الشركة خطيراً على وجه الخصوص لدى المنصات التي تدير حسابات المستخدمين والمعاملات المالية على مدار الساعة. وأعلنت SlowMist أن نظام رصد التهديدات لديها، المسمى MistEye، انطلق فور ظهور الخبر في مسح عالمي للبنيات القائمة على PHP داخل قطاع العملات الرقمية، شمل منصات تخدم البيتكوين وأغلب العملات البديلة، إضافة إلى أنظمة المحافظ الخلفية والخدمات المرتبطة بها. ولا يتوقف الانكشاف عند حدود التداول: فجسور الجسور بين الشبكات التي تحفظ البيتكوين على شبكة وتُصدر أصولاً مقابلها على أخرى تعمل بدقة على نفس بنية الخوادم الدائمة الاتصال التي تستهدفها هذه الثغرات. لكن الإرشادي يرسم حداً جوهرياً يجب وضعه في الحسبان: شبكة البيتكوين ذاتها لا تشغّل PHP، فلا شيء في التقرير يمس سعر العملة أو قواعد التسوية في البروتوكول، والخطر كله يقع على عاتق الشركات والخدمات التي تحفظ عملات المستخدمين.

تحديثات PHP تتوافر منذ 21 أكتوبر

أطلق مطورو PHP تحديثات أمنية تغلق الثغرتين في 21 أكتوبر، عبر إصدارات موصّلة ترقيمها 8.5.12 و8.4.27 و8.3.36 و8.2.35 على الفروع الأربعة المدعومة. وتحمل الإصدارات الأربعة الإصلاحين نفسهما، ما يعني أن مدراء الأنظمة لا يحتاجون إلى انتقال بين إصدارات مختلفة لإغلاق الخلل، بل إلى ترقية داخل نفس الفرع إلى النسخة الموصّلة، ولا يبقى أي فرع مدعوم من PHP دون إصلاح. واقترن الإصدار بتحذير تشغيلي جاء من المطورين أنفسهم: قيود الوصول والإجراءات المؤقتة للحد من المخاطر لا تكفي وحدها، وتطبيق التحديثات ضرورة قهرية لحماية شاملة. وناصرت SlowMist هذا الموقف، وقدمت للشركات العاملة في البنية التحتية للبيتكوين قائمة عمليات ملموسة: افحص إصدارات PHP العاملة على خوادمك، وأعطِ الأولوية للأنظمة المتاحة من الإنترنت المفتوح، ثم ركّب التحديثات الأمنية دون تأخير. وتأتي هذه الترتيبات منطقية لأن درجة الانكشاف تتفاوت داخل القطاع: مدخل الواجهة البرمجية العام لمنصة تداول يقدم سطح هجوم أوسع بكثير من أداة تقارير داخلية، وقد بُني مسح MistEye ليخط هذا الفارق بدقة: أي من خدمات العملات الرقمية يعرّض PHP للإنترنت وأيّها لا يفعل. وتعامل الشركة الأنظمة المتاحة عبر الإنترنت كأولوية تصحيح أولى، ثم يليها الباقي بحسب درجة وصولها. والاستغلال الناجح لخادم غير موصّل قد يمس، بحسب صياغة الإرشادي، البنية التي تحفظ أرصدة المستخدمين وتعالج معاملاتهم، ولهذا يقاس نافذة الاستجابة بالأيام لا بالأسابيع. وللمنصات التي تحفظ البيتكوين، تمنح أرقام الإصدارات فرق الامتثال خطاً تدقيق واضحاً: أي خادم ما زال يعمل بنسخة أقدم من 8.2.35 داخل فرعه يحتاج إلى تدخل قبل نهاية جلسة العمل المقبلة.

الخطر على الحفظ، لا على شبكة البيتكوين

قراءتنا للإفصاح أن الخطر على عملات الحامل يمر عبر خوادم أطراف ثالثة، لا عبر بروتوكول البيتكوين، وأن مستخدمي الحفظ الذاتي يقعون خارج دائرة التأثر. ويخرج مشغلو تعدين البيتكوين أيضاً من النطاق الفوري، لأن البنية التعدينية لا تعتمد على مكدسات PHP الويب. أما الأصول الأكثر انكشافاً فهي الأدوات التي تُحفظ لدى وسيط، وتتصدرها رموز Wrapped Bitcoin (BTC)، لأن غطاءها يرتهن ببقاء خوادم الجهة المُصدرة آمنة من الاختراق. والأسواق حتى الآن تعاملت مع الإفصاح بوصفه حدثاً تشغيلياً لا مؤشراً اتجاهياً؛ فقد سجل البيتكوين قمة أسبوعية قرب 85 ألف دولار خلال ارتداده في أكتوبر مطلع هذا الشهر. ومن يتتبع أثر الخبر على معنويات السوق يمكنه متابعة التحليل الفني للبيتكوين لدينا. أما لتحقق الخطر فعلياً فيلزم شرط واحد: أن يجد المهاجم خادم PHP متصلاً بالإنترنت وغير موصّل داخل منصة عملات رقمية، ويستغل الثغرة قبل أن يركب المشغل تحديثات 21 أكتوبر.