ثغرة في PHP تعرّض ملايين المواقع الإلكترونية للخطر

أصدر الفريق المسؤول عن PHP، لغة البرمجة المستخدمة لتشغيل جزء كبير من الإنترنت، إصلاحات طارئة يوم الأربعاء 21 أكتوبر 2026 لثغرتين أمنيتين خطيرتين. وتحمل الثغرتان الرمزين CVE-2026-109618 وCVE-2026-109619، وقد صُنّفت كل منهما بدرجة 9.2 من 10 على مقياس CVSS للخطورة. وأطلق عليهما الباحثون اسم «php2shell».

وتشغّل PHP ما يُقدّر بنحو 70 إلى 80% من المواقع الإلكترونية المعروفة لغة خوادمها، ومنها مواقع مبنية بـ WordPress وDrupal وJoomla وLaravel. وبحسب الباحثين، قد تتيح الثغرتان للمهاجم تشغيل شيفرة على خادم الويب والسيطرة عليه. وقد يتأثر أكثر من 1.3 مليون خادم متصل بالإنترنت.

واكتُشفت الثغرتان بمساعدة الذكاء الاصطناعي. فقد عثرت شركة الأمن Calif على إحداهما باستخدام نموذج من OpenAI، وقالت Wiz إنها وجدت عدة أخطاء في أمان الذاكرة في PHP باستخدام أدوات ذكاء اصطناعي من OpenAI وGoogle ومن تطويرها. وتقول Wiz إن الذكاء الاصطناعي يجعل استغلال الأخطاء المعقدة من هذا النوع أسهل.

ودعت وكالات أمنية، منها CERT-EU والمركز الوطني للأمن السيبراني في المملكة المتحدة، المؤسسات إلى التحديث بسرعة، أو إلى عزل مواقعها عن الإنترنت إذا تعذّر عليها التحديث فورًا. ووقت صدور التقارير، قالت الوكالة الأمريكية CISA إنها لم ترصد استخدام الثغرتين في هجمات، في حين أفادت بعض الشركات بأن مهاجمين يمسحون الإنترنت بحثًا عن خوادم لم تُصلح بعد.

وقد تبقى خوادم كثيرة مكشوفة، إذ إن نحو 758,000 خادم من الخوادم التي تُظهر إصدار PHP الخاص بها تعمل بإصدارات قديمة لم تعد تتلقى تحديثات أمنية.