OUFRIDعماد أوفريد
الأمن

ثغرة لينكس مستغَلّة وPHP2Shell: ما يجب أن يتحقق منه أصحاب المواقع والخوادم الافتراضية (VPS) في المغرب

بقلم · نُشر في

اقرأ دليل PHP2Shell خطوة بخطوة ←

في 28 أكتوبر 2026، أضافت الوكالة الأمريكية للأمن السيبراني (CISA) ثغرة في نواة لينكس تُلقَّب بـ«Fragnesia» إلى قائمتها للثغرات المستغَلّة. وحسب الوكالة، يربطها المهاجمون بثغرة PHP2Shell في لغة PHP، التي صُحّحت في 21 أكتوبر: يدخلون أولاً إلى الخادم عبر PHP، ثم يستولون على الصلاحيات الكاملة (root) عبر النواة. وفي اليوم السابق، كانت ثغرة أخرى في النواة، في بروتوكول TCP، قد شغلت الأخبار. إليك ما هو ثابت، ومن المعني، وما الذي يجب التحقق منه.

باختصار

ماذا حدث؟

Fragnesia. نُشرت في 13 ماي 2026 مع إثبات عملي، وتقييمها 7.8 من 10: إذ يجب أن يكون المهاجم قادراً مسبقاً على تشغيل شيفرة على الخادم لاستعمالها. وهذا بالضبط ما توفّره PHP2Shell ‏(CVE-2026-109618 وCVE-2026-109619)، التي صنّفتها CISA مستغَلّة في 26 أكتوبر. وتكتب CISA في بطاقتها بتاريخ 28 أكتوبر أن Fragnesia «يمكن ربطها» بهاتين الثغرتين «لزرع واجهات ويب خبيثة بلغة PHP وتنفيذ أوامر بصلاحيات root». وحدّدت للإدارات الفدرالية الأمريكية أجلاً أقصاه 31 أكتوبر.

وصفت شركة الأمن Dream الهجوم الفعلي في 26 أكتوبر: طلب HTTPS واحد يستغل PHP2Shell، ثم تمنح Fragnesia صلاحيات root، ويترك المهاجم بعد ذلك صفحة PHP مفخَّخة (تُسمّى «web shell») ليعود متى شاء. وتقول Dream إنها وجدت نحو 25 نظاماً مخترَقاً في الولايات المتحدة واليابان وتايوان وكوريا الجنوبية. تفصيل مهم: الأمر يتعلق بجدران حماية من Palo Alto كانت واجهة إدارتها مكشوفة على الإنترنت، وليس بمواقع ويب. لكن لا شيء في التقنية يقصرها على هذه الأجهزة: فكل خادم لينكس يشغّل نسخة PHP مصابة على نواة غير مصحَّحة معرَّض للسلسلة نفسها.

CVE-2026-98432. خطأ في الذاكرة داخل شيفرة TCP في النواة، يمكن تفعيله أثناء فتح الاتصال، قبل أي مصادقة. يقيّمه فريق النواة بـ9.8 من 10، بينما تقيّمه Red Hat وOracle وSUSE بـ8.1، لأن الفوز بسباق التوقيت صعب. وفي 27 أكتوبر، نشرت Anthropic مقالاً بحثياً: كتب أحد نماذجها للذكاء الاصطناعي، في المختبر، برنامج استغلال يمنح صلاحيات root عن بُعد على خادم لينكس فيه مُنصِت multipath TCP ‏(MPTCP) نشط. لم يُنشر برنامج الاستغلال، ولم يُبلَّغ عن أي هجوم فعلي. ليس هذا سبباً للهلع، لكنه سبب لتطبيق التصحيح فور صدوره.

KSMBD. في 21 و22 أكتوبر، كُشف قبل أي تصحيح عن ثغرتين في خادم مشاركة الملفات SMB المدمج في النواة (ksmbd)، قيّمتهما مبادرة Zero Day Initiative بـ9.0: ولا تعنيان إلا الخوادم التي يكون فيها هذا المكوّن محمَّلاً، وهو أمر نادر على خادم ويب.

من المعني؟

كيف تتحقق على خادم VPS؟

هذه الأوامر لا تغيّر شيئاً: إنها تعرض المعلومات فقط.

1. ما النواة التي تعمل فعلاً؟

uname -r

2. هل تصحيح Fragnesia موجود في هذه النواة؟

# AlmaLinux, Rocky, Red Hat
rpm -q --changelog kernel-core-$(uname -r) | grep CVE-2026-46300

# Debian, Ubuntu
apt changelog linux-image-$(uname -r) | grep CVE-2026-46300

إذا ظهر سطر، فالتصحيح موجود. وإذا لم يظهر شيء، راجع نشرة الأمان الخاصة بتوزيعتك. للمرجع: على Red Hat 9 النواة المصحَّحة هي 5.14.0-687.10.1.el9_8 ‏(20 ماي 2026) أو أحدث، وعلى Ubuntu 24.04 هي 6.8.0-124 أو أحدث، وعلى Debian 12 هي 6.1.174-1 أو أحدث. وعلى خادم AlmaLinux 9 أديره، تحتوي النواة 5.14.0-687.59.1.el9_8 فعلاً على التصحيح.

3. هل هناك إعادة تشغيل معلَّقة؟

# AlmaLinux, Rocky, Red Hat
dnf needs-restarting -r

# Debian, Ubuntu
ls /var/run/reboot-required

إذا كانت نواة أحدث مثبَّتة لكنها لم تُحمَّل بعد، فالخادم لا يزال يعمل بالقديمة.

4. هل MPTCP مفعَّل؟

sysctl net.mptcp.enabled
ss -Mln

يعرض الأمر الثاني الخدمات التي تُنصت عبر MPTCP. إذا لم يُرجع شيئاً، فأنت لست في الحالة التي أثبتتها Anthropic. لكن هذا لا يُعفيك من التحديث: فالنشرات الرسمية لا تقول إن الخوادم الأخرى في مأمن.

5. هل مكوّن ksmbd محمَّل؟

lsmod | grep ksmbd

إن لم يظهر أي سطر، فأنت غير معني بثغرتي KSMBD.

ماذا تفعل؟

  1. حدّث PHP، ثم أعد تشغيل PHP-FPM أو Apache. الطريقة الكاملة موجودة في دليلي حول PHP2Shell، فلن أكررها هنا.
  2. حدّث النواة ‏(dnf upgrade kernel* أو apt upgrade)، ثم أعد تشغيل الخادم. هذه هي الخطوة الأكثر نسياناً: فالخادم الذي لم يُعَد تشغيله منذ ماي قد يكون لا يزال يعمل بنواة معرَّضة لـFragnesia، حتى لو كان التصحيح مثبَّتاً على القرص.
  3. ابحث عن ملفات PHP مشبوهة في مجلدات الرفع، حيث لا ينبغي أن يوجد أي منها:
find /path/to/site/wp-content/uploads -name '*.php'

إذا وجدت شيئاً، فلا تكتفِ بحذفه: اتبع قسم «هل تعرّضتُ للاختراق؟» في الدليل.

  1. على الاستضافة المشتركة، راسل الدعم الفني: «هل طبّقتم تصحيحات PHP الصادرة في 21 أكتوبر 2026 وتصحيح النواة الخاص بـCVE-2026-46300، وهل أُعيد تشغيل الخادم منذ ذلك الحين؟»
  2. بالنسبة لـCVE-2026-98432، ثبّت النواة المصحَّحة فور أن تُصدرها توزيعتك، ثم أعد التشغيل.

ما لا نعرفه بعد

سأحدّث هذا المقال حين تتضح هذه النقاط.

هل تدير خادم VPS وتفضّل أن يتكفّل به محترف؟ أقدّم خدمة صيانة الخوادم ومراقبتها. ولأي سؤال محدد، تواصل معي.

المصادر

→ كل المستجدات