HiveProtect.ai » العربية » blog » هجمات WordPress وثغرة PHP2Shell: ما حظره HiveProtect

هجمات WordPress وثغرة PHP2Shell: ما حظره HiveProtect على مواقعنا

درع HiveProtect يصدّ سهامًا ترمز إلى هجمات WordPress

في 21 أكتوبر 2026، كُشف علنًا عن ثغرتين حرجتين في PHP تحت اسم PHP2Shell. وعلى أي خادم معرَّض لهما، قد تتيح هاتان الثغرتان السيطرة على المحرّك الذي يشغّل WordPress. ولم تنتظر الروبوتات الإعلان الرسمي: فمنذ 18 أكتوبر كانت مواقعنا نفسها تتلقى هجمات WordPress مصمَّمة على غرار هذه التركيبة. وقد أوقفها HiveProtect جميعًا.

نحمي مواقع WordPress الخاصة بنا باستخدام HiveProtect. لذلك فتحنا سجلاتنا وأجرينا الإحصاء: وهذا هو تصنيف هجمات WordPress التي تلقّيناها، وما الذي حظره HiveProtect، وكيف فعل ذلك. ولكي تظل قواعدنا فعّالة، لا ننشر عتباتها ولا توقيعاتها.

هجمات WordPress: أكثر من 448,000 طلب محظور في 3 أيام

من 20 إلى 23 أكتوبر، في خضم أخبار PHP2Shell، حظرت مواقعنا المحمية بواسطة HiveProtect أكثر من 448,000 طلب. وجرى استبعاد أكثر من 425,000 منها قبل أن تصل إلى خوادمنا أصلًا، بواسطة قواعد تصفية موضوعة في مرحلة أسبق لتخفيف الحمل عن الخوادم. أما الباقي فوصل إلى خوادمنا، حيث تسلّم HiveProtect المهمة.

وعلى مدى أسبوع كامل، من 16 إلى 23 أكتوبر، أوقف HiveProtect على خوادمنا 46,325 طلبًا، أي أكثر من 6,600 طلب في اليوم. ولا يتعلق الأمر بزوّار ضلّوا الطريق: فقد جاء 36,293 منها من مهاجمين سبق أن حظرهم HiveProtect، ورفض خادم الويب نفسه جميعها تقريبًا قبل أن يبدأ PHP أصلًا؛ وجاء 8,928 من عناوين أبلغت عنها القائمة المشتركة HiveShield؛ وكان 1,104 هجمات اكتشفها جدار الحماية داخل الطلب نفسه.

ما حظره HiveProtect على خوادمنا في 7 أيامرسم بياني بالأعمدة: بين 16 و23 أكتوبر 2026 حظر HiveProtect 46,325 طلبًا على خوادمنا: جاء 36,293 منها من مهاجمين سبق أن حظرهم، و8,928 من عناوين أبلغت عنها القائمة المشتركة HiveShield، وكان 1,104 هجمات اكتشفها جدار الحماية. ما حظره HiveProtect على خوادمنا في 7 أيام من 16 إلى 23 أكتوبر 2026 · 46,325 طلبًا محظورًا مهاجمون سبق أن حظرهم HiveProtect 36,293 عناوين أبلغت عنها القائمة المشتركة HiveShield 8,928 هجمات اكتشفها جدار حماية HiveProtect 1,104 المصدر: سجلات خوادمنا وسجلات HiveProtect

وهذا ليس سوى الجزء الظاهر. فعلى مدى شهر، ردّت مواقعنا أيضًا بعبارة «الصفحة غير موجودة» أكثر من 7,800 مرة على زوّار خارجيين، جاؤوا من أكثر من 3,000 عنوان IP: قرّاء حقيقيون وقعوا على رابط قديم، وكذلك روبوتات تختبر الصفحات واحدة تلو الأخرى لاكتشاف موقع ضعيف الحماية.

عائلات الهجمات السبع التي أوقفها HiveProtect

في 72 ساعة، من 19 إلى 22 أكتوبر، كشف HiveProtect أكثر من 350 عنوانًا مهاجمًا على مواقعنا وأبلغ عنها. ويصنّف المخطط أدناه بلاغاتها البالغ عددها 403 حسب النوع؛ وخلف هذه البلاغات نميّز سبع عائلات من الهجمات.

72 ساعة: المهاجمون الذين كشفهم HiveProtectرسم بياني بالأعمدة يعرض 403 بلاغات صادرة عن HiveProtect بين 19 و22 أكتوبر 2026: 129 للملفات السرية ومداخل الإدارة، و96 لحصر حسابات المستخدمين، و81 لروبوتات المسح والهويات المشبوهة، و41 للبحث عن الأبواب الخلفية، و39 لمحاولات الخروج من مجلد الموقع، و17 لفئات أخرى. 72 ساعة: المهاجمون الذين كشفهم HiveProtect من 19 إلى 22 أكتوبر 2026 · 403 بلاغات، حسب العائلة الملفات السرية ومداخل الإدارة 129 حصر حسابات المستخدمين 96 روبوتات المسح والهويات المشبوهة 81 البحث عن الأبواب الخلفية 41 محاولات الخروج من مجلد الموقع 39 أخرى: دفعات الطلبات والحقن ومتفرقات 17 المصدر: بلاغات HiveProtect الصادرة من مواقعنا نفسها

1. الكشّافون: جرد الموقع

تبدأ معظم هجمات WordPress بعملية رصد، وهو ما يسميه المتخصصون الاستطلاع. يطلب الروبوت عشرات الصفحات غير الموجودة، أو ملفات خاصة بهذه الإضافة أو تلك، ليعرف ما هو مثبّت وبأي إصدار.

كيف يوقفها HiveProtect: الزائر البشري لا يطلب سلسلة كاملة من الصفحات غير الموجودة. وفي أكتوبر أضفنا إلى HiveProtect قاعدة مخصصة لهذا المسح. وقد جُرّبت على شهر من حركة المرور الفعلية قبل تشغيلها، وكانت ستُبعد 48 عنوان IP، منها 29 لم تكن أي قاعدة أخرى قد رصدتها بعد، دون أن تمسّ زائرًا ولا عميلًا ولا روبوت محرك بحث.

2. مطاردة الملفات السرية

هذه هي العائلة التي أثارت أكبر عدد من التنبيهات: نسخ احتياطية منسية، وملفات إعدادات، ومجلدات أدوات التطوير، ومداخل الإدارة. فملف واحد من هذا النوع، إذا تُرك في المكان الخاطئ، قد يسلّم مفاتيح قاعدة البيانات.

كيف يوقفها HiveProtect: لا يوجد لدى أي زائر مشروع سبب لطلب هذه الملفات على موقع WordPress. وخلال الفترة لم يُقدَّم أي منها، وحُظرت العناوين التي كانت تطلبها فور ثبوت نيّتها.

3. حصر حسابات المستخدمين

قبل محاولة تخمين كلمة مرور، لا بد من معرفة اسم مستخدم. وخلال 72 ساعة رصدنا 777 طلبًا يهدف إلى سرد حسابات مواقعنا. وكانت إحدى الحملات منظمة بشكل خاص: ست عشرة موجة متتالية، من عنوانين إلى أربعة عناوين IP في آن واحد، تقع في بلدان مختلفة ومتنكرة في هيئة متصفحات حديثة.

كيف يوقفها HiveProtect: في هذه الحملة رُفض كل عنوان وحُظر منذ أول طلب يستهدف الحسابات؛ أما طلباته اللاحقة فاصطدمت بخادم الويب نفسه. والنتيجة: لم يُحصل على أي اسم حساب، وجرت مشاركة العناوين الخمسين التابعة للحملة مع مواقعنا الأخرى.

4. البحث عن الأبواب الخلفية

بعض الروبوتات تبحث عن أثر لاختراق سابق، مثل ملف خبيث وضعه مهاجم آخر وظل في مكانه. وعلى موقع مخترَق بالفعل، يمنحها هذا الملف التحكم المباشر.

كيف يوقفها HiveProtect: على موقع سليم لا وجود لهذه الملفات؛ وطلبها يكشف النية، فيُستبعد العنوان قبل أن يمضي أبعد من ذلك.

5. محاولات الخروج من مجلد الموقع

هذه هي العائلة المرتبطة بالأحداث الراهنة. فقد كانت هناك ثغرة في WordPress تتيح إجبار موقع على تحميل ملف موجود في مكان آخر من الخادم؛ وبالاقتران مع PHP2Shell، كان يمكن استخدامها لتنفيذ شيفرة برمجية. ومنذ منتصف سبتمبر أحصينا 4,220 طلبًا من هذا النوع على مواقعنا، صادرة عن 47 عنوانًا. ولم يُلبَّ أي منها.

كيف يوقفها HiveProtect: ليس من شأن عنوان ويب أن يخرج من مجلد الموقع ليجلب ملفات أخرى من الخادم. وفي 18 أكتوبر أوقف HiveProtect الهجوم المصمَّم على غرار PHP2Shell عند أول محاولة، ثم حظر منفّذه.

6. المنتحلون

كثير من الروبوتات تكذب بشأن هويتها: فهي تقدّم نفسها على أنها متصفّح، أو محرك بحث كبير، أو خدمة ذكاء اصطناعي. وتأتي أخرى من خوادم مستأجرة بالساعة في مراكز البيانات، وهو نمط نادر لدى القارئ الحقيقي.

كيف يوقفها HiveProtect: فهو لا يعتمد على ما يصرّح به الزائر. ويتحقق من الروبوتات التي تدّعي الانتماء إلى محرك بحث كبير، ويأخذ في الحسبان المصدر الحقيقي للاتصال. وخلال الفترة استُبعد ستة من هذه الخوادم منذ أول طلب لها.

7. الهجمات المنسّقة

بعض الحملات منسّقة: تضرب عدة عناوين موقعًا واحدًا في اللحظة نفسها، ثم تنتقل العملية إلى الموقع التالي بعد بضع دقائق أو بضع ساعات، لتمرّ دون أن تُلاحَظ.

كيف يوقفها HiveProtect: هذا هو دور HiveShield، القائمة المشتركة في HiveProtect. فالعنوان الذي يُضبط متلبسًا على أحد المواقع يُبلَّغ عنه، ثم يُرفض على المواقع المحمية الأخرى: وفي 7 أيام حظرت هذه القائمة وحدها 8,928 طلبًا على خوادمنا.

وماذا عن محاولات تجريب كلمات المرور؟

وثمّة عائلة بقيت هادئة: محاولات تجريب كلمات المرور. أما الدفعتان اللتان رُصدتا في وقت سابق من الشهر، في 17 أكتوبر، فقد رُفضتا دون أن ينجح أي تسجيل دخول.

PHP2Shell: كيف قطع HiveProtect الهجوم

ثغرة PHP2Shell وحدها يصعب استغلالها. وأبسط طريقة هي ربطها بثغرة تضمين ملفات، مثل ثغرة WordPress المذكورة أعلاه. وقد تلقّت مواقعنا هجومًا من هذا النوع، وقطعه HiveProtect على ثلاثة مستويات:

  • منذ المحاولة الأولى: يرفض جدار حماية HiveProtect طلب التضمين قبل أن يعالجه WordPress.
  • في أقرب نقطة من الخادم: يُحظر المهاجم على الفور. وتُرفض طلباته اللاحقة من خادم الويب نفسه ولا تصل حتى إلى PHP: فلا يعود الهجوم قادرًا على النجاح.
  • على جميع المواقع: يُبلَّغ عن عنوانه إلى HiveShield، الذي يشاركه مع المواقع المحمية الأخرى.

والنتيجة: لم تنجح أي من هذه المحاولات على مواقعنا. وفي هذا تكمن قوة الدفاع في العمق كلها: عدة حواجز، وكل واحد منها قادر على إيقاف المهاجم.

حواجز HiveProtectمخطط من ست طبقات: طلب المهاجم، ثم خادم الويب الذي يرفض المهاجمين الذين حظرهم HiveProtect قبل أن يبدأ PHP أصلًا، ثم جدار حماية HiveProtect المبكر، ثم جدار حماية HiveProtect الذي يحلّل كل طلب، ثم WordPress الذي لا يتلقى سوى حركة مرور مصفّاة، وأخيرًا الموقع وبياناته محميان. حواجز HiveProtect مسار الطلب الخبيث وصولًا إلى الموقع ! طلب المهاجم عليه أن يتجاوز كل حاجز من حواجز HiveProtect. 1 خادم الويب المهاجمون الذين حظرهم HiveProtect يُرفضون هنا، قبل أن يبدأ PHP أصلًا. Stop PHP2Shell 2 جدار حماية HiveProtect المبكر القائمة المشتركة HiveShield وروبوتات المسح والملفات السرية: يُوقف كل ذلك قبل تحميل الإضافات. 3 جدار حماية HiveProtect يُحلَّل كل طلب قبل أن يصل إلى WordPress؛ ويُحظر المهاجم ويُبلَّغ عنه. 4 WordPress لا يتلقى سوى حركة مرور مصفّاة. 5 الموقع وبياناته محميان.

وليست هذه المرة الأولى التي يُستهدف فيها PHP: فقد سبق أن روينا كيف حظر HiveProtect هجوم CVE-2024-4577.

لماذا فشلت هذه الهجمات: ما يفعله HiveProtect

  • يرفض مبكرًا: كلما أُوقف الطلب الخبيث مبكرًا قلّت فرصه في بلوغ ثغرة، سواء كانت معروفة أم لم تُعرف بعد.
  • يحظر حظرًا طويل الأمد: العنوان الذي أظهر نيته لا يستحق فرصة ثانية، ويُطبَّق الحظر في أقرب نقطة من الخادم.
  • يشارك المعلومات: بفضل HiveShield، تستفيد جميع المواقع الأخرى بسرعة مما يتعلمه أي موقع.
  • يكشف المنتحلين: تُعرَف الروبوتات المزيفة والاتصالات المشبوهة مهما ادّعت.

تُشرح كل هذه الحمايات بالتفصيل في ميزات HiveProtect، ويبيّن مقالنا «هجمات ووردبريس لا تنام أبدا» كيف تتوالى هذه الحملات يوميًا.

ما يمكنك فعله من اليوم

  • ثبّت جدار حماية WordPress يحظر المهاجمين بدل الاكتفاء بإبطائهم، ويشارك ما يتعلمه.
  • أبقِ PHP وWordPress والقالب والإضافات لديك محدَّثة، واحذف الإضافات التي لم تعد تستخدمها.
  • لا تترك أي نسخة احتياطية ولا أي ملف إعدادات في مجلد يمكن الوصول إليه من الويب.
  • استخدم رابطًا مخصصًا لتسجيل الدخول وكلمات مرور فريدة.

لتثبيت HiveProtect وإعداده، يشرح التوثيق ومركز المساعدة كل خطوة.

الخلاصة

في خضم أخبار PHP2Shell، حظرت مواقعنا المحمية بواسطة HiveProtect أكثر من 448,000 طلب في 3 أيام، وأوقف HiveProtect أكثر من 46,000 طلب على خوادمنا في أسبوع واحد، موزّعة على سبع عائلات من الهجمات. وأمام PHP2Shell كما أمام غيره، لا يتغير منطقه: الرفض المبكر، والحظر النهائي، ومشاركة المعلومات.

يتلقى موقعك هجمات WordPress نفسها، سواء رأيتها أم لا. اكتشف باقات HiveProtect واحمِه من اليوم.