مهاجمو PHP2Shell يحاولون بناء بوت نت للهجمات الموزعة باستخدام Potassium ويفشلون حتى الآن

"قابلة للتطبيق وخطيرة للغاية."

— جون هولتكوويست، جوجل، مقتبس من The Record.

لماذا يُثير شبكة بوتنت DDoS قلق مزودي الاستضافة ومشغلي العملات المشفرة

التهديد الأوسع كبير بالفعل. سجلت Cloudflare 935 هجومًا DDoS تجاوزت كل منها تيرابت واحد في النصف الأول من عام 2026.

لم تُنسب هذه الهجمات إلى Potassium. ومع ذلك، فإنها توضح الاضطرابات التي تواجه مزودي الاستضافة ومعالجي الدفع ومنصات العملات المشفرة. لم يتم ربط أي خسائر مالية بـ PHP2Shell.

تحذير PHP الجديد وما يجب مراقبته

في 23 أكتوبر، كشفت PHP عن مشكلة أخرى، CVE-2026-115560، تتعلق بتكوين تطبيق غير عادي. وفي انتظار الإصلاح المعتاد، توصي بـ session.upload_progress.enabled=0، وهو أيضًا إجراء تخفيف لـ CVE-2026-109619.

يجب على المديرين تثبيت إصدارات PHP 8.5.12 أو 8.4.27 أو 8.3.36 أو 8.2.35، وإعادة تشغيل العاملين (workers)، ومراقبة التنزيلات المشبوهة.

حذر كبير مسؤولي الأمن المعلوماتي في Cobalt، أندرو أوباديرو، من أن هذه الفترة الهادئة هي:

"وقت مُستعار."

— أندرو أوباديرو، Cobalt، مقتبس من The Record.

"مخلفات وغير وظيفية."

— سبنسر ماكنيتاير، VulnCheck، مقتبس من The Record.

هذا الإجراء الوقائي ليس مثاليًا. طورت VulnCheck استغلالًا خاصًا يتجاوز ASLR على PHP 8.4.26 المُهيأ للإنتاج، ثم وسّعت الدعم لاحقًا لتشمل إصدارات محددة من 8.4 و8.5.

وصف جون هولتكوويست من Google هذا التهديد بأنه:

"قابلة للتطبيق وخطيرة للغاية."

— جون هولتكوويست، جوجل، مقتبس من The Record.

لماذا يُثير شبكة بوتنت DDoS قلق مزودي الاستضافة ومشغلي العملات المشفرة

التهديد الأوسع كبير بالفعل. سجلت Cloudflare 935 هجومًا DDoS تجاوزت كل منها تيرابت واحد في النصف الأول من عام 2026.

لم تُنسب هذه الهجمات إلى Potassium. ومع ذلك، فإنها توضح الاضطرابات التي تواجه مزودي الاستضافة ومعالجي الدفع ومنصات العملات المشفرة. لم يتم ربط أي خسائر مالية بـ PHP2Shell.

تحذير PHP الجديد وما يجب مراقبته

في 23 أكتوبر، كشفت PHP عن مشكلة أخرى، CVE-2026-115560، تتعلق بتكوين تطبيق غير عادي. وفي انتظار الإصلاح المعتاد، توصي بـ session.upload_progress.enabled=0، وهو أيضًا إجراء تخفيف لـ CVE-2026-109619.

يجب على المديرين تثبيت إصدارات PHP 8.5.12 أو 8.4.27 أو 8.3.36 أو 8.2.35، وإعادة تشغيل العاملين (workers)، ومراقبة التنزيلات المشبوهة.

حذر كبير مسؤولي الأمن المعلوماتي في Cobalt، أندرو أوباديرو، من أن هذه الفترة الهادئة هي:

"وقت مُستعار."

— أندرو أوباديرو، Cobalt، مقتبس من The Record.

يحاول المهاجمون تحويل خوادم PHP الضعيفة إلى بوتات البوتاسيوم، وهي جزء من شبكة مشتقة من Mirai مصممة لهجمات حجب الخدمة الموزعة (DDoS). لكن حتى الآن، واجهوا صعوبات. The Hacker News أبلغ في 23 أكتوبر عن عدم تأكيد أي اختراقات للخوادم.

كان هناك ثغرتان رئيسيتان في PHP كانتا الهدف الرئيسي للهجمات الإلكترونية – CVE-2026-109618 وCVE-2026-109619، وكلاهما حصل على درجة 9.2 من 10 من حيث الخطورة. أصدرت PHP التصحيحات في 21 أكتوبر، ولكن بحلول ذلك الوقت كان القراصنة قد بدأوا بالفعل شن الهجمات ضد هذه الثغرات.

ما رصده Sophos ثم تراجع عنه

أفادت Arctic Wolf بأن محاولات تنفيذ الأوامر وتنزيل البرمجيات الخبيثة قد نسبت إلى Potassium. أظهر تقييم آخر أُجري في بيئة معزولة (sandbox) عينة مختلفة اتصلت بخادم thunder.godofthunder[.]st عبر عنوان IP 134.199.154[.]64 على منفذ TCP 50792، واستهدفت مضيفين أوكرانيين اثنين.

لقد أظهر ذلك إمكانية البرمجية الخبيثة، لكن ليس أن المهاجمين اخترقوا خوادم الإنتاج. في 22 أكتوبر، ردت Sophos إعلان نجاح سابق، قائلة لـ The Record أنها لم ترصد سوى محاولات هجوم غير ناجحة.

ملايين عمليات الاستكشاف، وصفر حالات اختراق مؤكدة

ومع ذلك، تشير هذه الأرقام إلى مدى استكشاف المهاجمين للشبكات. سجلت Imperva 482,342 محاولة طلب في 122,311 جلسة موجهة نحو 21,998 موقعًا في 103 دولة خلال فترة 24 ساعة.

في الوقت نفسه، أفادت Censys باكتشاف أكثر من 41 مليون خدمة PHP متاحة عبر الإنترنت تعمل بإصدارات متأثرة، وحوالي مليون حالة فقط لنشر إصدارات مُصححة من البرنامج بحلول 22 أكتوبر. لا تكفي الأرقام التي تعكس حوادث الفحص أو عدد الأفراد المعرضين للإثبات حدوث اختراق فعلي.

24 أوامر الفيضان ومفتاح ENS الخامل

كشف Arctic Wolf أن 24 أمرًا من أوامر الفيضانات تشمل جميع أنواع ICMP وTCP وUDP وOpen VPN. كما توجد ميزات البحث في خدمة أسماء Ethereum (ENS) في كل من نسختي ARM وx86-64 من بوتنت Potassium، لكن هذا الإجراء تم تعطيله في الحالتين.

لم يتم اختراق Ethereum وENS. ومع ذلك، يمكن أن يؤدي تفعيل ميزات البحث في ENS إلى طريقة أكثر صعوبة لحظر خوادم الأوامر باستخدام أي تحكم تقليدي في DNS والعناوين IP.

نماذج أولية عشوائية مقابل استغلال خاص يعمل

تفشل العديد من استغلاالات مفهوم الإثبات (PoC) العامة ضد دفاعات الإنتاج، خاصةً عشوائية تخطيط مساحة العنوان (ASLR). وصف Spencer McIntyre من VulnCheck العديد من العينات المتداولة بأنها:

"مخلفات وغير وظيفية."

— سبنسر ماكنيتاير، VulnCheck، مقتبس من The Record.

هذا الإجراء الوقائي ليس مثاليًا. طورت VulnCheck استغلالًا خاصًا يتجاوز ASLR على PHP 8.4.26 المُهيأ للإنتاج، ثم وسّعت الدعم لاحقًا لتشمل إصدارات محددة من 8.4 و8.5.

وصف جون هولتكوويست من Google هذا التهديد بأنه:

"قابلة للتطبيق وخطيرة للغاية."

— جون هولتكوويست، جوجل، مقتبس من The Record.

لماذا يُثير شبكة بوتنت DDoS قلق مزودي الاستضافة ومشغلي العملات المشفرة

التهديد الأوسع كبير بالفعل. سجلت Cloudflare 935 هجومًا DDoS تجاوزت كل منها تيرابت واحد في النصف الأول من عام 2026.

لم تُنسب هذه الهجمات إلى Potassium. ومع ذلك، فإنها توضح الاضطرابات التي تواجه مزودي الاستضافة ومعالجي الدفع ومنصات العملات المشفرة. لم يتم ربط أي خسائر مالية بـ PHP2Shell.

تحذير PHP الجديد وما يجب مراقبته

في 23 أكتوبر، كشفت PHP عن مشكلة أخرى، CVE-2026-115560، تتعلق بتكوين تطبيق غير عادي. وفي انتظار الإصلاح المعتاد، توصي بـ session.upload_progress.enabled=0، وهو أيضًا إجراء تخفيف لـ CVE-2026-109619.

يجب على المديرين تثبيت إصدارات PHP 8.5.12 أو 8.4.27 أو 8.3.36 أو 8.2.35، وإعادة تشغيل العاملين (workers)، ومراقبة التنزيلات المشبوهة.

حذر كبير مسؤولي الأمن المعلوماتي في Cobalt، أندرو أوباديرو، من أن هذه الفترة الهادئة هي:

"وقت مُستعار."

— أندرو أوباديرو، Cobalt، مقتبس من The Record.