“PHP2Shell” تستنفر المصارف.. ثغرات الويب ترفع كلفة الحماية واستمرارية الخدمات

وضعت ثغرات «PHP2Shell» المؤسسات المالية أمام اختبار جديد لقدرتها على حماية خدماتها الرقمية، بعدما أعلن مشروع لغة البرمجة PHP، في 21 أكتوبر 2026، إصدار تحديثات أمنية لمعالجة ثغرتين حرجتين قد تسمحان بتنفيذ أوامر على الخوادم دون تسجيل الدخول. وتكشف الأزمة كيف يمكن لخلل في مكوّن برمجي واسع الاستخدام أن يتحول إلى تحدٍّ تشغيلي، يتطلب مراجعة الأنظمة وتحديثها سريعًا، وربما تعليق بعض الخدمات لحين تأمينها. وتُعرف الثغرتان بالمعرّفين «CVE-2026-109618» و«CVE-2026-109619»، وترتبطان بأخطاء في إدارة الذاكرة والتعامل مع حالات الفشل داخل محرك PHP. وأوضحت مؤسسة PHP أن الخلل الأول قد يترك بيانات داخلية غير مكتملة عند نفاد الذاكرة، بينما يسمح الثاني ببقاء مؤشرات إلى ذاكرة جرى تحريرها. وفي ظروف محددة، يمكن أن تؤدي هذه الأخطاء إلى تنفيذ تعليمات برمجية على الخادم المستهدف، بما يتجاوز مجرد تعطل صفحة إلكترونية. وبدأت التداعيات التشغيلية بالظهور في اليابان؛ إذ أفادت وكالة «كيودو»، في 22 أكتوبر، بأن بنك «ميتسوبيشي يو إف جي» أوقف بعض الخدمات لإجراء صيانة طارئة، بينها فتح حسابات صناديق الاستثمار عبر منصته المصرفية الإلكترونية، في إجراء ربطته الوكالة بمشكلة PHP. وأعلنت شركة «ميتسوبيشي يو إف جي مورغان ستانلي للأوراق المالية»، بصورة منفصلة، تعليق إجراءات تحقق إلكتروني مرتبطة بفتح الحسابات وتسجيل مفاتيح المرور، دون أن يحدد إعلانها سببًا تقنيًا بعينه. ولا تعني هذه الإعلانات ثبوت اختراق المصارف أو سرقة أموال العملاء. فالتوقف للصيانة يثبت تأثر إتاحة الخدمة، لكنه لا يحدد وحده ما إذا كان مهاجم قد دخل الأنظمة. وتكتسب هذه التفرقة أهمية عند تقييم الأثر المالي للحادث؛ إذ تختلف تكلفة الإغلاق الوقائي عن تكلفة اختراق ناجح يستدعي التحقيق واستعادة الأنظمة ومعالجة تبعات تسرب المعلومات. وتتسع دائرة المخاطر المحتملة إلى البيانات الحساسة الموجودة في ذاكرة الخوادم. فبحسب «ويز»، قد تتيح بعض مسارات الاستغلال كشف كلمات مرور ورموز مصادقة ومفاتيح واجهات برمجة التطبيقات. كما أن الخلل يقع في PHP نفسها، ما يعني أن سلامة التطبيق أو تحديث نظام إدارة المحتوى لا يكفيان وحدهما لمعالجته. وبالنسبة للمصارف، يبرز ذلك ضرورة فحص البوابات العامة والتطبيقات المساندة والخدمات التي يديرها الموردون، بحسب مكوناتها الفعلية واتصالها بالأنظمة الأخرى. اقتصاديًّا، يمكن أن ترفع الاستجابة الطارئة نفقات التشغيل عبر تكليف فرق الأمن والتقنية بحصر الأنظمة، واختبار التحديثات، ومراجعة السجلات، والتنسيق مع مقدمي الخدمات. وقد يؤخر تعليق بوابة رقمية استقبال طلبات العملاء ويزيد الضغط على الفروع ومراكز الاتصال. وهذه آثار تحليلية محتملة، ولا تمثل تقديرًا لخسائر معلنة أو دليلًا على تضرر جميع المصارف بالدرجة نفسها. ويضيف الذكاء الاصطناعي بُعدًا آخر للأزمة. فقد أعلنت «أوبن إيه آي» أن شركة «كاليف» اكتشفت خللًا حرجًا باستخدام أحد نماذجها، وأن «ويز» اكتشفت الثغرتين بصورة مستقلة. وحذرت من أن القدرات التي تساعد المدافعين على اكتشاف العيوب قد تساعد المهاجمين أيضًا على تطوير أدوات هجومية بسرعة، ما يضغط الوقت المتاح للمؤسسات لتطبيق الإصلاحات. وأصدر مشروع PHP نسخًا مصححة للفروع المدعومة، مؤكدًا أن التحديث هو الحل الكامل، وأن التدابير المؤقتة تقلل مسارات تعرض محددة فقط. وتضع الأزمة أمام إدارات المصارف أولوية واضحة: معرفة البرمجيات المستخدمة فعليًا، والتحقق من معالجة الموردين للثغرات، وربط سرعة الإصلاح بخطط استمرار الخدمة وحماية ثقة العملاء.