متاجر ماجنتو المصابة وفخ دعم Teams وثغرة PHP: دروس أمنية للخليج

قرأت هذا الأسبوع ثلاثة تقارير أمنية تبدو منفصلة، لكنها في رأيي تحكي قصة واحدة: المهاجم لا يحتاج دائمًا إلى اختراق معقد، فيكفيه أن يستغل شيئًا مألوفًا في عملك اليومي. وهذه القصة تهم كل شركة خليجية لديها متجر إلكتروني أو خوادم ويب أو موظفون يستخدمون Teams.

ماذا حدث؟

أولًا، ذكر موقع The Hacker News نقلًا عن شركة Sansec الهولندية أن جهة مجهولة أصابت 953 متجرًا إلكترونيًا، أغلبها يعمل على Magento، ضمن حملة نشطة منذ يوليو 2025. تضيف الحملة قطعة صغيرة من الشيفرة إلى صفحات المتجر، فتقدّم لزوّاره شيفرة JavaScript خبيثة عبر كتل المحتوى (CMS blocks) في Magento. وتصف التقارير الشيفرة بأنها تتفادى الماسحات الأمنية.

ثانيًا، نشر الموقع نفسه، The Hacker News، أن PHP أصدرت تحديثًا أمنيًا ثانيًا لحزم ويندوز خلال خمسة أيام. أعادت بناء الحزم الرسمية للإصدارات من 8.2 إلى 8.5 لإصلاح الثغرة CVE-2026-111497 في مكتبة الضغط Brotli المضمّنة. قد تسمح الثغرة بإتلاف الذاكرة وربما بتنفيذ شيفرة. ويمكن الوصول إليها عبر إضافة cURL حين تفك ضغط ردود HTTP تلقائيًا، وهذا الخيار معطّل افتراضيًا في cURL.

ثالثًا، أشار تقرير آخر في The Hacker News إلى «نمط اجتماعي متكرر» في مئات الحالات. يستغل المهاجمون ميزة إنشاء محادثات خارجية في Microsoft Teams لانتحال صفة الدعم التقني أو لنشر برمجيات خبيثة، وتتكرر فيها الحسابات المؤقتة نفسها وأسلوب «الدعم التقني» نفسه.

لماذا يهمنا في الخليج؟

التجارة الإلكترونية في المنطقة تنمو بسرعة، وكثير من المتاجر مبني على Magento أو على منصات PHP، وغالبًا تديرها فرق صغيرة أو وكالات خارجية. إصابة متجر بشيفرة تعمل في متصفح الزائر تعني خطرًا مباشرًا على عملائه، وعلى سمعة المتجر قبل أي غرامة أو خسارة مبيعات. أما Teams فهو أداة العمل اليومية في الشركات والجهات الحكومية، وأي رسالة من «موظف دعم» تبدو عادية جدًا وسط زحام الرسائل.

ما الذي أنصح بفعله؟

• افحص كتل CMS في Magento: راجع الكتل والصفحات الثابتة في لوحة التحكم بحثًا عن أي وسوم script لا تعرف مصدرها، ولا تكتفِ بنتيجة ماسح آلي واحد.
• قيّد صلاحيات الإدارة: فعّل المصادقة الثنائية لكل مستخدم إداري، واحذف الحسابات القديمة، وراقب من يعدّل المحتوى.
• حدّث PHP على ويندوز: إن كنت تستخدم الحزم الرسمية للإصدارات المذكورة، ثبّت النسخ المعاد بناؤها. وراجع هل يفعّل تطبيقك فك الضغط التلقائي في cURL.
• ضبط Teams: قيّد التواصل مع المستأجرين الخارجيين (external tenants) إلى الجهات المعروفة فقط، أو أضف تنبيهًا واضحًا على الرسائل القادمة من خارج المؤسسة.
• قاعدة التحقق: درّب فريقك على ألا ينفذ طلب «دعم تقني» وصل عبر محادثة خارجية قبل التأكد من الشخص عبر قناة ثانية معروفة، كالاتصال برقم الشركة أو التذكرة الرسمية.

رأيي الصريح

أرى أن الخطأ الشائع هو اعتبار الأمن مشروعًا يُنجز مرة واحدة. حملة Magento مستمرة منذ أكثر من عام وما زالت تصيب متاجر جديدة، وهذا يعني أن الفحص الدوري وحده لا يكفي ما لم يعرف أحد في الفريق ما الذي يجب أن يكون موجودًا في صفحات المتجر أصلًا. وفي تقرير Teams لا يتعلق الأمر بثغرة برمجية، بل بثقة الموظف. وهذه لا تُصلَح بتحديث، بل بتدريب وسياسات واضحة.

أما ثغرة PHP فدرس مختلف: المكتبات المضمّنة داخل الحزم جزء من سطح الهجوم الذي نتحمل مسؤوليته، حتى لو لم نكتب سطرًا فيها. وصدور تحديثين في خمسة أيام يذكّرنا بأن تتبّع إشعارات الأمان يجب أن يكون مهمة معيّنة لشخص في الفريق، لا شيئًا نتذكره حين نجد الوقت.

إن كان لديك متجر أو خوادم، فخصّص ساعة هذا الأسبوع لثلاثة أمور: مراجعة الكتل في متجرك، والتأكد من نسخة PHP، وضبط إعدادات Teams الخارجية. هذه الساعة أرخص بكثير من حادثة تُكتشف بعد أن يخبرك بها عملاؤك.