أعلنت فرق أبحاث أمنية وشركات تقنية كبرى عن اكتشاف ثغرتين قديمتين وحرجتين في نواة لغة PHP، الأمر الذي أثار قلقاً واسعاً لدى مشغّلي المواقع والخدمات الإلكترونية بسبب إمكانية تنفيذ أوامر عن بعد دون مصادقة وتسريب ذاكرة.
ماذا حدث؟
في 20–21 أكتوبر 2026 كشفت تقارير أمنيّة عن ثغرتين مسجلتين تحت المعرّفات CVE-2026-109618 وCVE-2026-109619، وقيّمتها لجنة تطوير PHP بدرجة حرجة (CVSS v4.0 حول 9.2). الثغرتان تسمحان بتنفيذ أوامر عن بعد (RCE) وكشف محتوى الذاكرة في بيئات تشغيل PHP، وقد وُثّقت معلومات مبكرة عنها وانتشار أدوات إثبات مفهوم وهجمات مُلاحَظة في الشبكة قبل النشر الرسمي الكامل للـتفاصيل.
من اكتشف الثغرات ومنسق الاستجابة
نشرت OpenAI أنها قادت تنسيقاً بين مطوّري PHP وباحثين وشركات أمنية ضمن مبادرة أسمتها “Patch the Planet” للمساعدة في اكتشاف ومراجعة وإعداد إجراءات الحماية قبل الإفصاح العام، وذكرت مشاركة شركاء مثل Wiz وCloudflare وغيرها في جهود التحقق والتصحيح.
من جهتها، أعلنت شركة Wiz عن تفاصيل فنية تحت مسمى “php2shell” ووصفت أثر الثغرات ومدى انتشارها، وأشارت إلى مساهمات نماذج ذكاء اصطناعي وأدوات داخلية في عملية الاكتشاف والتحقق.
ردود فعل شركات السحابة ومزودي الحماية
أفادت Google Cloud أنها استجابت بإصدار صور أساسية محدثة وخدمات مُعدَّلة لبيئات السحابة المتأثرة (App Engine, Cloud Run, وغيرها) لتقليل المخاطر على العملاء، كما نشرت Cloudflare تدابير حماية WAF وقيَدت بعض الهجمات التي لوحظت بعد تسريب معلومات حول الثغرة.
نصائح عملية للمؤسسات والمطورين
- تثبيت تحديثات PHP الطارئة فوراً على الأنظمة المعرضة و إعادة تشغيل خدمات PHP (php-fpm/Apache) للتأكد من تحميل النسخة المحدثة في الذاكرة.
- التحقق من مكوّنات البنية التحتية: الحاويات، صور السيرفر السحابي، وخوادم الطرف الثالث التي قد تحتوي على نسخ قديمة من PHP.
- استخدام جدران الحماية للتطبيقات (WAF) وإجراءات اكتشاف الاستغلالات مؤقتاً إذا تعذّر التحديث الفوري.»
مآلات الحادث
التقارير أشارت إلى أن بعض المواقع أُخرجت مؤقتاً أو عُطّلت بينما يعمل مشغلوها على التطبيق الفوري للتحديثات، وأن هناك اجتهادات مستمرة لمراقبة البنى القديمة التي قد تظل معرضة للخطر إذا لم تُحدّث أو تُؤمَّن.
المراجع
- AP News — Some websites go dark as operators address an AI-detected flaw in a web programming language
- OpenAI — Patch the Planet: global response coordination as agents uncover critical vulnerabilities
- Google Cloud Blog — Responding to core PHP vulnerabilities CVE-2026-109618 and CVE-2026-109619
- Wiz Blog — PHP2Shell: AI uncovers critical RCE vulnerabilities affecting 70% of the Internet
- Cloudflare Blog — Cloudflare deploys protections against php2shell vulnerability
