ومع ذلك، تعالج PHP بشكل غير صحيح سلاسل استعلام مصممة بعناية لا تحتوي على علامة يساوي (=).

بدلاً من التعامل مع سلسلة الاستعلام كبيانات مستخدم فحسب، تفسرها PHP عن طريق الخطأ على أنها وسائط سطر أوامر تُمرَّر مباشرة إلى ملف PHP التنفيذي.

ولأن PHP تدعم العديد من خيارات سطر الأوامر (مثل -d)، يمكن للمهاجم تجاوز خيارات إعداد PHP أثناء معالجة الطلب.

وهذا يسمح للمهاجم بـ:

• تفعيل توجيهات PHP الخطيرة
• تعطيل القيود الأمنية
• الإضافة التلقائية لكود PHP يتحكم فيه المهاجم
• تنفيذ أوامر PHP تعسفية
• الحصول على سيطرة كاملة على عملية خادم الويب

السبب الجذري هو المعالجة غير السليمة لـ php_getopt() داخل:

وعلى وجه التحديد، فشلت PHP في تجاهل تحليل سطر الأوامر بشكل صحيح عند معالجة سلاسل استعلام خبيثة تفتقر إلى علامة يساوي (=). :contentReference[oaicite:1]{index=1}

السبب الجذري

يقبل ملف CGI التنفيذي معاملات سطر الأوامر.

على سبيل المثال:

في العادة، يجب أن تأتي هذه المعاملات من نظام التشغيل فقط.

بدلاً من ذلك، سمحت PHP بشكل غير صحيح لطلبات HTTP بحقن هذه المعاملات عبر عناوين URL مصممة بعناية.

وبالتالي، يمكن للمهاجم التلاعب بإعدادات PHP وقت التشغيل قبل تنفيذ السكربت المستهدف.

وقد أدى هذا فعليًا إلى تحويل طلب HTTP بسيط إلى تنفيذ أوامر ضد php-cgi.

الإصدارات المتأثرة

إصدارات PHP التالية معرضة للخطر:

فقط التثبيتات التي تستخدم وضع CGI (php-cgi) هي المتأثرة.

PHP التي تعمل كـ:

• وحدة Apache (mod_php)
• PHP-FPM
• تطبيقات FastCGI غير المعرضة لهذا الخلل في التحليل

لا تتأثر عمومًا بثغرة CVE-2012-1823 نفسها. :contentReference[oaicite:2]{index=2}

متطلبات الهجوم

يحتاج المهاجم فقط إلى:

• اتصال شبكي بالهدف
• PHP تعمل كـ CGI
• لا مصادقة
• لا حساب مستخدم صالح
• لا تفاعل من الضحية

الثغرة قابلة للاستغلال بالكامل عن بُعد.

عملية الاستغلال

يتبع الهجوم عادةً هذه المراحل:

1. اكتشاف نقطة نهاية PHP CGI.
2. إرسال طلب HTTP مصمم بعناية.
3. حقن وسائط سطر أوامر PHP.
4. تجاوز إعدادات PHP وقت التشغيل.
5. تنفيذ كود PHP يتحكم فيه المهاجم.
6. الحصول على تنفيذ التعليمات البرمجية عن بُعد.

بمجرد الحصول على تنفيذ الأكواد، يقوم المهاجمون عادةً بـ:

• رفع القواقع (Web Shells)
• تنفيذ أوامر النظام
• قراءة الملفات الحساسة
• تفريغ قواعد البيانات
• تثبيت البرامج الضارة
• تأسيس الثبات
• التحرك الجانبي أعمق داخل الشبكات الداخلية

التأثير

يؤدي الاستغلال الناجح إلى اختراق كامل لتطبيق PHP.

تشمل العواقب المحتملة:

• تنفيذ التعليمات البرمجية عن بُعد
• اختراق كامل للموقع
• سرقة قاعدة البيانات
• كشف بيانات الاعتماد
• نشر برمجيات خبيثة
• تثبيت القواقع (Web Shell)
• السيطرة على الخادم
• التحرك الجانبي
• تصعيد الامتيازات (حسب تكوين الخادم)

إذا تم تنفيذ PHP بصلاحيات مرتفعة، فقد يكون اختراق النظام بالكامل ممكنًا أيضًا.

CVSS v3.1

لماذا كانت هذه الثغرة خطيرة للغاية

ساهمت عدة خصائص في جعل CVE-2012-1823 مؤثرة بشكل خاص:

• قابلة للاستغلال عبر HTTP.
• لا تتطلب مصادقة.
• استغلال موثوق.
• ثغرة على مستوى المفسِّر.
• تؤثر على جميع تطبيقات PHP المستضافة.
• أصبح كود الاستغلال العام متاحًا بعد فترة قصيرة من الإفصاح.
• مدعومة من أطر اختبار الاختراق.
• مستخدمة على نطاق واسع في حملات المسح الآلي للإنترنت.

أدى الجمع بين سهولة الاستغلال والتأثير الشديد إلى هجمات واسعة النطاق في العالم الحقيقي وإدراجها في كتالوج الثغرات المستغلة المعروفة (KEV) التابع لـ CISA. :contentReference[oaicite:4]{index=4}

الاكتشاف

يجب على المسؤولين التحقق من:

• إصدار PHP
• وضع النشر
• وجود php-cgi
• تكوين خادم الويب

تشمل المؤشرات:

• ملف CGI التنفيذي مكشوف عبر HTTP
• توجيهات PHP غير متوقعة وقت التشغيل
• طلبات مشبوهة تحتوي على مفاتيح سطر أوامر مرمّزة
• طلبات تفتقد إلى '=' في سلاسل الاستعلام

يمكن لأدوات الفحص الأمني مثل Nuclei وNessus وOpenVAS ووحدات Metasploit اكتشاف التكوينات المعرضة للخطر. :contentReference[oaicite:5]{index=5}

التخفيف

تشمل الإجراءات التخفيفية الموصى بها:

• ترقية PHP إلى:
  • 5.3.12 أو أحدث
  • 5.4.2 أو أحدث
• تعطيل وضع CGI حيثما أمكن.
• الانتقال إلى PHP-FPM.
• تقييد الوصول إلى ملفات php-cgi التنفيذية.
• تطبيق التصحيحات الأمنية من المورد.
• نشر جدار حماية لتطبيقات الويب (WAF) قادر على حظر محاولات حقن وسائط CGI الخبيثة.

الجدول الزمني

إخلاء مسؤولية

هذا المستودع مخصص فقط للأغراض التعليمية وأبحاث الأمن وتحليل الثغرات والاختبار الدفاعي. يجب استخدام أي معلومات واردة فيه فقط على الأنظمة التي لديك إذن صريح بها. الاستغلال غير المصرح به للأنظمة المعرضة للخطر غير قانوني وغير أخلاقي.