أعلن باحثون أمنيون عن اكتشاف ثغرتين حرقتين في محرك لغة البرمجة PHP، والتي تشير تقارير شركة الأبحاث Wiz إلى أنها تشكل الأساس لنحو 70% من مواقع الويب حول العالم. تم رصد الثغرتين تحت المعرفين CVE-2026-109618 وCVE-2026-109619، وتعرفان مجتمعتين باسم PHP2Shell، حيث حصدتا تقييم خطورة بلغ 9.2 على مقياس CVSS v4.0.
تمكنت شركة Calif.io من اكتشاف إحدى الثغرات باستخدام نموذج GPT-5.6 Sol من OpenAI، بينما عثرت شركة Wiz بشكل مستقل على كلا الثغرتين باستخدام أداة Wiz Atlas بالتعاون مع نموذج Gemini 4 Argon من جوجل ونموذج GPT-5.6 Sol. كما أشارت تقارير Cloudflare إلى مشاركة جهات أمنية أخرى مثل Quarkslab في كشف هذه العيوب البرمجية التي امتد وجودها لأكثر من عقد كامل في نسخ PHP المختلفة.
عيوب أمنية كامنة منذ عقد من الزمن
ترجع جذور المشكلة إلى الآلية التي يعالج بها محرك PHP الأخطاء؛ فعندما يتعطل طلب برمجية ما أو تنفد الذاكرة المتاحة له، قد يترك المحرك وراءه مراجع لذاكرة تم تحريرها مسبقاً (Use-After-Free). يمكن للطلب التالي الذي يعالجه نفس العامل معالجة تلك المراجع باعتبارها صالحة.
أثبتت الأبحاث أن المهاجمين يمكنهم استغلال هذا السلوك إلى جانب عيوب خلط الأنواع للوصول إلى بيانات حساسة أو تنفيذ تعليمات برمجية خبيثة عن بعد على منصات شهيرة مثل WordPress وDrupal وJoomla دون الحاجة إلى تسجيل الدخول. وأكد الباحثون أن بعض الكواد المصابة تعود إلى نسخة PHP 5.4، وبقيت هذه العيوب خفية طوال تلك السنوات لصعوبة دمج عدة نقاط ضعف معاً لإنشاء هجوم ناجح، وهو الدور الحاسم الذي لعبه الذكاء الاصطناعي في تسريع عملية الاكتشاف خلال أيام معدودة.
سرعة الاستجابة وإطلاق الإصلاحات
بدأت رحلة المعالجة بعد اكتشاف Wiz للثغرة الأولى في 19 أغسطس وتأكيد قدرتها على تنفيذ التعليمات البرمجية على Drupal ثم WordPress في الأيام التالية. تم إبلاغ فريق الأمان في PHP رسمياً في 24 أغسطس، لتصدر الإصدارات التصحيحية في 21 أكتوبر بعد تنسيق مكثف شمل شركات كبرى مثل Cloudflare وGoogle Cloud وAWS وMicrosoft وAkamai.
ما الذي يتغير عملياً للمطورين ومديري الأنظمة؟
أطلقت PHP الإصدارات الآمنة التي يجب على فرق التطوير ومديري الأنظمة تحديث خوادمهم إليها فوراً، وهي: PHP 8.5.12 و8.4.27 و8.3.36 و8.2.35. وفي حال الاعتماد على توزيعات Linux أو مزودي استضافات مدارة، يُنصح بمراجعة الموردين للتحقق من تطبيق التحديثات العكسية (Backporting).
إلى جانب ذلك، اقترحت OpenAI إطار عمل استباقي من خمس مراحل للتعامل مع الثغرات التي يكشفها الذكاء الاصطناعي، يمر عبر التأكد، والاختبار المتقدم عبر النماذج، والتوزيع التدريجي للبيانات على الموزعين ومزودي الخدمات وصولاً إلى الوكالات الحكومية والبنية التحتية الحرجة. كما وفرت الشركة أداة لفحص إصدارات PHP محلياً للتحقق من وجود النسخ الهشة، مع التنبيه بأن أدوات الحماية مثل جدران الحماية (WAF) تمثل طبقة دفاع مؤقتة ولا تغني بحال عن التحديث الفعلي للكود البرمجي على الخوادم.
كيف أعددنا هذا الخبر؟
اعتمد الخبر على المصدر الأصلي الموضح أعلاه. قد نستخدم أدوات آلية للمساعدة في الاستخراج والتصنيف والصياغة،
لكن النشر يخضع لقواعد تمنع المحتوى المكرر والقصير أو الروتيني منخفض القيمة.
اقرأ سياستنا التحريرية.