ثغرتان حرجتان في PHP تطلقان سباقا عالميا لتحديث الخوادم
أصدر مشروع PHP إصلاحات طارئة لثغرتين تسمحان بتنفيذ شيفرة عن بعد بلا مصادقة على خوادم الويب. أوقفت مؤسسات حكومية وخدمات مواقعها احترازيا أثناء التحديث، لكن التوقف لا يثبت وقوع اختراق، كما تحتاج الإصدارات القديمة إلى إصلاح من المورد أو ترقية.
أصدر مطورو PHP إصلاحات طارئة لثغرتين حرجتين قد تسمحان لمهاجم غير مسجل بتشغيل شيفرة على خادم ويب معرض للخطر. وأطلقت تحديثات 21 أكتوبر موجة سريعة من التصحيح والإيقاف الاحترازي، لأن PHP تعمل خلف نسبة كبيرة من مواقع الويب، وقد تكون مدمجة في منتجات لا يعرف مشغلوها أنها تعتمد عليها.
الخلاصة في 30 ثانية
- ماذا حدث؟ أصلحت إصدارات PHP 8.5.12 و8.4.27 و8.3.36 و8.2.35 ثغرتي تنفيذ شيفرة عن بعد تحملان الرقمين CVE-2026-109618 وCVE-2026-109619.
- لماذا يهم؟ قد ينجح الهجوم قبل أن يبدأ التطبيق في معالجة الطلب، كما تدخل PHP في منتجات ويب كثيرة تابعة لجهات أخرى.
- ما الذي لم يُثبت؟ توفرت الإصلاحات للإصدارات المدعومة، لكن النسخ الأقدم تحتاج إلى تحديث من المورد أو انتقال لإصدار أحدث. إيقاف الموقع يقلل التعرض ولا يصلح الخادم ولا يكشف ما إذا كان قد اختُرق.
الحقيقة الأهم: يقول فريق PHP إن كل التركيبات التي تخدم طلبات الويب معرضة للخطر، وإن التحديث هو المعالجة الكاملة الوحيدة.
خطآن يقودان إلى الخطر نفسه
ترتبط الثغرة الأولى، CVE-2026-109618، بكيفية تعامل PHP مع نفاد الذاكرة. فقد يؤدي الانقطاع إلى ترك بيانات الطلب الداخلية في حالة تهيئة جزئية، ثم تتعامل عملية التنظيف مع بيانات غير سليمة كأنها صالحة. أما CVE-2026-109619 فتسمح ببقاء حالة داخلية بعد تحرير الذاكرة التي كانت تحملها، ثم قد يعيد طلب لاحق استخدامها.
يمكن أن تنتهي الثغرتان بتنفيذ شيفرة عن بعد بلا مصادقة. ويشمل التنبيه طرق تشغيل PHP عبر PHP-FPM وmod_php مع Apache وphp-cgi وFrankenPHP وLiteSpeed، فيما ظهر أعلى خطر عملي في mod_php. ولا يعالج إخفاء رسائل الخطأ مشكلة إدارة الذاكرة والحالة الداخلية.
لماذا اختفت مواقع من الإنترنت؟
طلبت جهات الأمن السيبراني الأوروبية من المؤسسات حصر التطبيقات المعتمدة على PHP، وإعطاء الأولوية للأنظمة المواجهة للإنترنت، ثم تثبيت الحزم المصححة. وعندما يتعذر الإصلاح الفوري، أوصت بعزل التطبيقات المكشوفة عن الشبكات العامة. لذلك أوقفت جهات حكومية ومؤسسات أخرى خدماتها مؤقتا أثناء الفحص والتحديث.
لا يعني ذلك أن كل موقع توقف قد تعرض للاختراق. كان كثير من الإيقاف احترازيا. وذكرت رويترز أن أمازون رصدت محاولات ضد أنظمة طُعم قبل الكشف العام، ثم وصفت الثغرتين بأنهما أصبحتا موضع استغلال واسع، لكنها قالت أيضا إن نجاح المحاولات المبكرة ضد مواقع فعلية لم يكن محسوما.
الذكاء الاصطناعي اكتشف الخلل وضيّق مهلة الدفاع
استخدمت Calif نموذج GPT-5.6 Sol للعثور على إحدى الثغرتين، بينما أبلغت Wiz بصورة مستقلة عن الثغرتين بعد استخدام نظام Atlas ونماذج من غوغل وOpenAI. ونسقت الفرق مع مطوري PHP ومزودي البنية التحتية قبل النشر. وتصف OpenAI هذه الفترة بأنها نافذة للمدافعين، لأن الاكتشاف المبكر أتاح إعداد الإصلاحات ووسائل الحماية.
لكن الأتمتة نفسها تختصر مهلة الدفاع بعد ظهور التفاصيل أو الشيفرة المصححة. يستطيع المهاجم مقارنة النسختين، وتوليد اختبارات، والبحث عن الخوادم المكشوفة بسرعة أكبر. لذلك لا تقتصر القصة على استخدام الذكاء الاصطناعي لاكتشاف خطأ، بل تشمل تسارع الاكتشاف وصناعة أدوات الاستغلال والاستجابة حول برمجيات مفتوحة المصدر تقوم عليها خدمات كثيرة.
قبل أن نبالغ في النتيجة
لا تثبت الحادثة أن نظام ذكاء اصطناعي أمّن الويب بمفرده. تحقق باحثون بشريون ومطورو PHP ومزودو الخدمات والجهات العامة من النتائج، وطوروا الإصلاحات ونسقوا الكشف. كما أن وجود تحديث لا يعني أن الخادم أصبح آمنا تلقائيا، إذ يجب اكتشاف مكونات PHP المدمجة، وتثبيت الحزمة الصحيحة، وفحص مؤشرات الوصول السابق عندما يكون النظام قد تعرض للإنترنت.
ما الذي يجب فحصه الآن؟
الإصدارات المصححة من المشروع هي 8.5.12 و8.4.27 و8.3.36 و8.2.35. ولا تتلقى PHP 8.1 وما قبلها تحديثات أمنية مباشرة من المشروع، لذا تحتاج المؤسسات إلى إصلاح معتمد من توزيعة أو مورد دعم طويل الأجل، أو إلى الانتقال نحو إصدار مدعوم. وتأتي الأنظمة المتصلة بالإنترنت أولا، ثم المنتجات التي تخفي اعتمادها على PHP داخل حزمة تجارية أو مفتوحة المصدر.
يتغير السياق التنظيمي بالتوازي. بدأ الاتحاد الأوروبي في سبتمبر تطبيق الإبلاغ عن الثغرات المستغلة، كما شرحت نيو تقنية في قاعدة الإبلاغ خلال 24 ساعة. وفي سياق مختلف، أظهر أول بلاغ إسباني عن خرق قاده وكيل ذكاء اصطناعي أهمية الفصل بين الاختراق المؤكد والادعاء الأولي. أما أمام مشغلي PHP فالخطوات المباشرة واضحة: الحصر، والتحديث، والتحقق من الإصدار العامل، ثم التحقيق في الأنظمة التي ربما تعرضت سابقا.
كيانات وموضوعات موثّقة
المصادر والمراجع4 مصادر
المراجع الخارجية المستخدمة لدعم المعلومات الواردة في هذا المقال.
نشر بواسطة
مكتب نيو تقنية – سياسات التقنية
فريق تحريري مؤسسي تابع لنيو تقنية
