PHP2Shell: ما حدث في أول 24 ساعة بعد الكشف

بعد الكشف العلني عن PHP2Shell (CVE-2026-109618 وCVE-2026-109619)، سجّلت Imperva زيادة حادة في محاولات الفحص والاستغلال.

أول 24 ساعة من نشاط المهاجمين بالأرقام: • 482,342 طلبًا مرتبطًا بمحاولات الفحص و/أو الاستغلال. • 122,311 جلسة هجوم بمتوسط 3.9 طلبات لكل جلسة. • 21,998 موردًا مستهدفًا بمتوسط حوالي 22 طلبًا لكل موقع. • 103 دول كانت الموارد المستهدفة موجودة فيها.

ظهرت أول معلومات عن الثغرة في 20 أكتوبر الساعة 15:20 (UTC)، بينما لاحظت Imperva أول محاولات فحص غير ناجحة حوالي الساعة 12:00 في 21 أكتوبر، قبل إصدار التصحيح الرسمي في 13:48. وبعد حوالي سبع ساعات من نشر التصحيح، بلغ النشاط ذروته عند 94,870 طلبًا في الساعة، تلته زيادة ملحوظة ثانية في صباح 22 أكتوبر — إلى ما يقرب من 42,000 طلب في الساعة.

كان 64.5% من المواقع المستهدفة موجودة في الولايات المتحدة، تليها إندونيسيا وأستراليا وألمانيا والبرازيل. وبحسب القطاع، تصدّرت الأعمال القائمة بنسبة 34.3%، تليها التعليم والخدمات المالية.

يستحق مستوى الأتمتة الملاحظة أيضًا: حوالي نصف الطلبات جاءت من روبوتات وأدوات معروفة تعتمد على مكتبات Go HTTP. وهذا يُظهر بوضوح مدى سرعة ظهور أدوات الفحص الجماعي بعد الكشف عن ثغرة حرجة.

بدأت الهجمات قبل إصدار التصحيح الرسمي: فبعد فترة قصيرة من ظهور المعلومات العامة، بدأت الماسحات الآلية بالبحث عن أهداف محتملة. ونتيجة لذلك، تبدأ نافذة الاستجابة فعليًا عند الكشف عن الثغرة، وليس عند توفر تصحيح أو استغلال — وتُقاس بالساعات لا بالأيام.

الثغرات

الباحثون

المورّدون

المنتجات