ثغرات PHP2Shell تضع المصارف في حالة تأهب قصوى وتزيد تكاليف الحماية واستمرارية الخدمات

تواجه المؤسسات المالية تحديًا جديدًا في حماية خدماتها الرقمية بسبب ثغرات «PHP2Shell»، حيث أعلن مشروع لغة البرمجة PHP في 21 أكتوبر 2026 عن إصدار تحديثات أمنية لمعالجة ثغرتين حرجتين تسمحان بتنفيذ أوامر على الخوادم دون الحاجة لتسجيل الدخول. تكشف هذه الأزمة عن كيفية تحول خلل في مكون برمجي شائع إلى تحدٍ تشغيلي يتطلب مراجعة سريعة للأنظمة وتحديثها، وربما تعليق بعض الخدمات لحين تأمينها.

الثغرتان، المعروفان بالمعرفين «CVE-2026-109618» و«CVE-2026-109619»، تنبعان من أخطاء في إدارة الذاكرة والتعامل مع حالات الفشل داخل محرك PHP. أوضحت مؤسسة PHP أن الخلل الأول قد يترك بيانات داخلية غير مكتملة عند نفاد الذاكرة، بينما يسمح الثاني ببقاء مؤشرات إلى ذاكرة تم تحريرها. في ظروف معينة، يمكن لهذه الأخطاء أن تؤدي إلى تنفيذ تعليمات برمجية على الخادم المستهدف، بما يتجاوز مجرد تعطل صفحة ويب.

بدأت التداعيات التشغيلية بالظهور في اليابان، حيث أفادت وكالة «كيودو» في 22 أكتوبر بأن بنك «ميتسوبيشي يو إف جي» أوقف بعض الخدمات لإجراء صيانة طارئة، بما في ذلك فتح حسابات صناديق الاستثمار عبر منصته المصرفية الإلكترونية، وهو إجراء ربطته الوكالة بمشكلة PHP. وبشكل منفصل، أعلنت شركة «ميتسوبيشي يو إف جي مورغان ستانلي للأوراق المالية» تعليق إجراءات التحقق الإلكتروني المتعلقة بفتح الحسابات وتسجيل مفاتيح المرور، دون تحديد سبب تقني واضح.

لا تعني هذه الإعلانات بالضرورة اختراقًا للمصارف أو سرقة لأموال العملاء. فالتوقف للصيانة يثبت تأثر إتاحة الخدمة، لكنه لا يحدد ما إذا كان مهاجم قد تمكن من الدخول إلى الأنظمة. تكتسب هذه التفرقة أهمية عند تقييم الأثر المالي للحادث، حيث تختلف تكلفة الإغلاق الوقائي عن تكلفة اختراق ناجح يتطلب تحقيقًا واستعادة للأنظمة ومعالجة لتبعات تسرب المعلومات.

تتسع دائرة المخاطر المحتملة لتشمل البيانات الحساسة الموجودة في ذاكرة الخوادم. فبحسب «ويز»، قد تتيح بعض مسارات الاستغلال كشف كلمات مرور ورموز مصادقة ومفاتيح واجهات برمجة التطبيقات. ولأن الخلل يقع في PHP نفسها، فإن سلامة التطبيق أو تحديث نظام إدارة المحتوى لا يكفيان لمعالجته. بالنسبة للمصارف، يبرز ذلك ضرورة فحص البوابات العامة والتطبيقات المساندة والخدمات التي يديرها الموردون، بناءً على مكوناتها الفعلية واتصالها بالأنظمة الأخرى.

اقتصاديًا، يمكن أن ترفع الاستجابة الطارئة نفقات التشغيل، حيث تُكلف فرق الأمن والتقنية بحصر الأنظمة، واختبار التحديثات، ومراجعة السجلات، والتنسيق مع مقدمي الخدمات. وقد يؤدي تعليق بوابة رقمية إلى تأخير استقبال طلبات العملاء وزيادة الضغط على الفروع ومراكز الاتصال. هذه آثار تحليلية محتملة ولا تمثل تقديرًا لخسائر معلنة أو دليلًا على تضرر جميع المصارف بنفس الدرجة.

يضيف الذكاء الاصطناعي بُعدًا آخر للأزمة. فقد أعلنت «أوبن إيه آي» أن شركة «كاليف» اكتشفت خللًا حرجًا باستخدام أحد نماذجها، وأن «ويز» اكتشفت الثغرتين بشكل مستقل. وحذرت من أن القدرات التي تساعد المدافعين على اكتشاف العيوب قد تساعد المهاجمين أيضًا على تطوير أدوات هجومية بسرعة، مما يضغط الوقت المتاح للمؤسسات لتطبيق الإصلاحات.

أصدر مشروع PHP نسخًا مصححة للفروع المدعومة، مؤكدًا أن التحديث هو الحل الكامل، وأن التدابير المؤقتة تقلل مسارات التعرض المحددة فقط. وتضع الأزمة أمام إدارات المصارف أولوية واضحة: معرفة البرمجيات المستخدمة فعليًا، والتحقق من معالجة الموردين للثغرات، وربط سرعة الإصلاح بخطط استمرارية الخدمة وحماية ثقة العملاء.