ثغرات حرجة في PHP تطلق سباقاً عالمياً لتطبيق التصحيحات الطارئة

أصدرت مؤسسة PHP تصحيحات طارئة في 21 أكتوبر 2026 لثغرتين حصلتا على تقييم 9.2 من 10 تتيحان تنفيذ رموز عن بعد دون مصادقة على خوادم الويب. وتسجلان تحت رقمتي CVE-2026-109618 وCVE-2026-109619 وتتضمنان تلف الذاكرة أثناء حالات نفاد الذاكرة وإعادة استخدام حالة عامة قديمة بعد وقوع أخطاء فادحة. وأوضحت المؤسسة أن هذه المشكلات تكمن في المكونات الأساسية التي يمر بها كل طلب ويب تقريبا مما يتيح شن الهجمات قبل تنفيذ كود التطبيق. واعتبرت فرق الأمن هذه العيوب شديدة الخطورة نظرا للدور المحوري الذي تلعبه PHP في البنية التحتية للويب.

وتعني PHP معالج النصوص التشعبية وتعمل كلغة برمجة من جانب الخادم تجمع صفحات الويب ديناميكيا من بيانات الخادم. وتشير بيانات موقع W3Techs إلى استخدامها في نحو 70 بالمئة من جميع المواقع التي يمكن تحديد لغتها. أما أرقام شركة بالو ألتو نتوركس فتظهر أكثر من 22 مليون نسخة مكشوفة قد تكون عرضة لهذه العيوب. وقد أثار الوضع تساؤلات حول طبيعة PHP وأسباب إثارته حالة استنفار عالمية في مجال الأمن السيبراني.

واكتشف باحثون من شركة ويز ومشاركون في برنامج «Patch the Planet» التابع لأوبن إيه آي هذه الثغرات بمساعدة نماذج الذكاء الاصطناعي بين أغسطس وسبتمبر 2026. وخلص تقييم أجرته وايرد إلى أن أدوات الذكاء الاصطناعي سرعت اكتشاف عيوب ظلت مخفية لأكثر من 20 عاما. وشكرت مؤسسة PHP الجهود التعاونية في بيانها العام مشيرة إلى أن التصحيحات الكاملة شملت الإصدارات المدعومة من 8.2 فصاعدا فقط.

وتسربت تفاصيل الثغرات بما في ذلك فيديو توضيحي لأداة استغلال تدعى PHP2Shell قبل الموعد المقرر للإصدار المنسق. وأفاد موقع ذا ريجيستر بأن مسؤولي PHP أرجعوا الكشف المبكر إلى مزود أمن سلسلة التوريد تشين غارد الذي نشر نسخا مصححة قبل أكثر من ست ساعات من انتهاء فترة الحظر. وأكدت المؤسسة أن هذا الخرق مكن المهاجمين من دراسة الاختلافات الثنائية بينما كان معظم المستخدمين ينتظرون الإعلان الرسمي.

واتخذت وكالات حكومية ومنظمات كبرى إجراءات احترازية في عدة دول. فأوقفت خدمات الحكومة الفنلندية وميناء روتردام ومواقع وزارة الداخلية الفرنسية وصفحات مجلس إدنبرة وعدة مواقع لبرامج بي بي سي عن الوصول العام مؤقتا. كما عطلت مؤسسة ويكيميديا بعض عناصر بنيتها التحتية الداعمة لويكيبيديا حتى التحقق من التحديثات وفق ما نقلته تقارير من بينها بي بي سي.

ونصحت CERT-EU والمركز الوطني للأمن السيبراني البريطاني وجهات أخرى المنظمات غير القادرة على التطبيق الفوري بعزل تطبيقات PHP المواجهة للإنترنت عن الشبكات العامة. وشددت السلطات -بحسب Computer Weekly- على فحص الأنظمة القديمة غير المصححة عن أي اختراق سابق أو أبواب خلفية قبل الترقية. ووصفت مؤسسة PHP المعالجة السريعة بأنها أمر حيوي لمنع السيطرة على الخوادم أو سرقة البيانات أو تشويه المواقع.

وسجلت محاولات استغلال أولية في مراقبة الشبكات حتى قبل توفر التصحيحات وفقا لشركات مثل هادريان وسانسيك. وكتبت سانسيك «نتوقع أن تبدأ الهجمات الجماعية خلال 15 دقيقة من الإصدار». وقد جدد هذا الحادث التركيز على النسخ القديمة من PHP وعلى الدور المتزايد للذكاء الاصطناعي في أبحاث الثغرات وتطوير أدوات الاستغلال.