أصدر فريق لغة البرمجة بي إتش بي (PHP) تحديثات أمنية طارئة لثغرتين حرجتين من نوع تنفيذ الكود عن بُعد (RCE)، أي أن المهاجم قد يشغّل أوامره على الخادم من مكان بعيد. وبدأت هجمات فعلية تستغل الثغرتين، لذا إن كنت تدير موقعًا أو خادمًا يعمل بـ PHP فحدّثه إلى الإصدار المصحح المناسب لفرعك فورًا.
ما الثغرتان وما مدى خطورتهما؟
الأولى CVE-2026-109618 وهي خلل في التعامل مع نفاد الذاكرة (out-of-memory)، والثانية CVE-2026-109619 وهي خطأ استخدام الذاكرة بعد تحريرها (use-after-free)، أي أن البرنامج يواصل التعامل مع جزء من الذاكرة بعد أن أُفرج عنه. صنّفت PHP كلتا الثغرتين بدرجة 9.2 من 10، وهي فئة حرجة.
كيف اكتُشفت الثغرتان؟
أعلنت أوبن إيه آي (OpenAI) يوم الأربعاء 21 أكتوبر 2026 أن باحثين استخدموا نموذجها GPT-5.6 Sol ضمن مبادرة Patch the Planet لكشف الثغرتين، وهما تتعلقان بإدارة الذاكرة ومعالجة الأخطاء. واكتشفت شركة Calif إحدى الثغرتين ضمن المبادرة، بينما وجد فريق Wiz التابع لجوجل (Google) ثغرات أخرى بأدوات ذكاء اصطناعي.
وفي اليوم نفسه حذّرت وكالة الأمن القومي الأمريكية (NSA) من الثغرتين. وبحسب التقرير، فهما موجودتان في الشيفرة منذ الإصدار 5 عام 2004، وتتيحان للمهاجم الوصول إلى نظام ملفات الخادم أو قاعدة بياناته، وتنفيذ كود خبيث عن بعد دون بيانات دخول.
ما الإصدارات التي تحمل الإصلاح؟
عالجت PHP الثغرتين في الإصدارات التالية:
- PHP 8.5.12
- PHP 8.4.27
- PHP 8.3.36
- PHP 8.2.35
يمكن تنزيل هذه الإصدارات من صفحات التنزيل الرسمية لـ PHP، وتوجد النسخة المصدرية وملفات ويندوز التنفيذية في الصفحة نفسها. أما مستخدمو لينكس فقد وصلت الإصلاحات مسبقًا إلى موزعي التوزيعات ومزودي الدعم طويل الأمد (LTS)، والأفضل أن تراجع مزودك للحصول على الحزم المحدثة.
كيف خرجت القصة إلى العلن؟
كان المفترض أن يعمل الفريق على الحل بهدوء دون أن يمنح المهاجمين فرصة للسبق. لكن معلومات الثغرتين تسربت على الإنترنت قبل الإعلان بيومين، فسادت حالة قلق. وبحسب التقارير، أغلقت مواقع حكومية وصحية وتعليمية في أوروبا نفسها مؤقتًا لتفادي الاستهداف. كما أفادت Cloudflare وباحثون أمنيون بمحاولات استغلال مبكرة قبل صدور الإصلاحات.
وتضاربت الروايات حول التفاصيل. فقد قال فلوريان روث، رئيس الأبحاث في Nextron Systems، إن الثغرتين ستُمنحان درجة 10 من 10، وهو ما لم يحدث. وتوقع أن يشمل الإصلاح الإصدار 8 فقط، وهذا ما تأكد، رغم أن مصادر أخرى ادعت أن الإصلاح يمتد إلى الإصدار 5.
كم موقعًا معرضًا للخطر؟
PHP من أكثر لغات تطوير المواقع والتطبيقات انتشارًا، لذلك تُعد ثغرات تنفيذ الكود عن بُعد فيها مسألة كبيرة. وتشير بيانات VirusTotal إلى أن أكثر من 5.1 مليون خادم PHP مكشوف حاليًا على الإنترنت، وأن نحو 3.8 مليون منها يملك منفذًا واحدًا مفتوحًا على الأقل. والمشكلة الأكبر أن ملايين المواقع تعمل بإصدارات قديمة منتهية الدعم، وقد يسهل استهدافها.
ماذا يعني لك؟
إن كان موقعك على استضافة مشتركة، فاسأل الشركة المضيفة عن إصدار PHP المثبت وهل طُبّق عليه الإصلاح. وإن كنت تدير خادمًا خاصًا (VPS)، فتحقق من إصدارك بالأمر php -v، ثم حدّث عبر حزم توزيعتك أو نزّل الإصدار الرسمي. وتذكّر أن مواقع كثيرة، منها مواقع ووردبريس والمتاجر الإلكترونية، تعمل فوق PHP. أما إن كان فرعك غير مدرج في القائمة أعلاه، فلم تُعلن له إصلاحات ضمن هذا التحديث، والأسلم الانتقال إلى فرع مدعوم. والإصدار 8.1 وما قبله لم يعد مدعومًا ولن يحصل على إصلاح رسمي. والتحذير ينطبق على أي خادم متصل بالإنترنت.
