أثارت ثغرتان أمنيتان خطيرتان في لغة البرمجة PHP مخاوف بشأن أمن المواقع الإلكترونية. ودفعت هذه الثغرات مؤسسات إلى اتخاذ تدابير عاجلة لحماية أنظمتها.
وأصدر فريق تطوير اللغة، الأربعاء 21 أكتوبر 2026، تحديثات أمنية لمعالجة الخلل. وقد يستغل المهاجمون هذه الثغرات لتنفيذ تعليمات برمجية عن بُعد على خوادم معرضة للخطر، حتى دون مصادقة مسبقة.
وتزامن الكشف عن الثغرات مع اضطرابات مؤقتة طالت مواقع إلكترونية. وأوقفت بعض الجهات خدماتها مؤقتا، ريثما تنتهي من معالجة المشكلة. لكن توقف موقع عن العمل لا يعني بالضرورة تعرضه للاختراق، فقد تتخذ المؤسسات هذه الخطوة لحماية أنظمتها أثناء تثبيت التحديثات الأمنية.
وتكتسب هذه الثغرات أهمية خاصة بسبب انتشار PHP في تطوير مواقع الويب والتطبيقات. وتشمل هذه الاستخدامات منصات إدارة المحتوى والخدمات الإلكترونية. كما أعاد اكتشاف الثغرات بأدوات الذكاء الاصطناعي النقاش حول قدرة هذه التقنيات على كشف العيوب الأمنية. وفي المقابل، يخشى خبراء من استغلال المهاجمين هذه القدرات لتسريع الهجمات السيبرانية.
تحديثات عاجلة لمعالجة ثغرتين خطيرتين في PHP
أعلن فريق تطوير PHP تحديثات أمنية جديدة لمعالجة ثغرتين تحملان الرقمين CVE-2026-109618 وCVE-2026-109619. وصنّف الفريق الثغرتين ضمن المخاطر الحرجة، محذرا من إمكانية استغلالهما لتنفيذ تعليمات برمجية عن بُعد دون مصادقة المستخدم.
وشملت التحديثات الإصدارات 8.5.12 و8.4.27 و8.3.36 و8.2.35، وفق الإعلانات الرسمية لفريق التطوير. ودعا الفريق المستخدمين إلى تحديث أنظمتهم فورا، باعتبار ذلك الإجراء الأساسي لمعالجة الخلل وتقليل مخاطر الاستغلال.
وتطال المخاطر الأنظمة التي تستخدم PHP لمعالجة طلبات الويب. وتشمل هذه البيئات تشغيل اللغة عبر PHP-FPM أو خوادم Apache، إلى جانب طرق تشغيل أخرى. ويختلف مستوى الخطر بحسب بيئة التشغيل وإعداداتها، خصوصا عندما تسمح هذه الإعدادات باستغلال الثغرة قبل تشغيل شيفرة التطبيق.
وقد يتمكن المهاجم، عند نجاح الاستغلال، من تشغيل أوامر على الخادم المستهدف. ويتيح ذلك احتمال الوصول إلى بيانات دون إذن أو العبث بالخدمات، بحسب صلاحيات النظام وإعداداته الأمنية.
الذكاء الاصطناعي يساعد على كشف ثغرات ظلت مخفية
أعاد اكتشاف الثغرات تسليط الضوء على دور الذكاء الاصطناعي في الأبحاث الأمنية. وأوضحت شركة “أوبن إيه آي” أنها نسقت جهودا مع مطوري PHP وباحثين وشركات متخصصة، بهدف معالجة الثغرات قبل الإعلان عنها على نطاق واسع.
وبحسب الشركة، اكتشفت شركة “كاليف” إحدى الثغرات الخطيرة باستخدام نموذج للذكاء الاصطناعي. وجاء ذلك ضمن مبادرة تحمل اسم “Patch the Planet”. كما اكتشفت شركة “ويز” الثغرتين بصورة مستقلة، وأبلغت الجهات المعنية بهما. وشاركت جهات أخرى في الأبحاث والدعم التقني والاستعداد لإصدار الإصلاحات.
وتوضح هذه العملية قدرة الأدوات المتقدمة على تحليل الشيفرات البرمجية ورصد نقاط ضعف قد يصعب اكتشافها بالوسائل التقليدية. كما تسرّع هذه الأدوات بعض مراحل التدقيق الأمني، ما يساعد المطورين على إصلاح العيوب قبل استغلالها في الهجمات.
لكن هذه القدرات تثير مخاوف موازية، إذ يستطيع المهاجمون الاستفادة من أدوات الذكاء الاصطناعي للبحث عن الثغرات وتطوير أساليب لاستغلالها. لذلك، لا يقتصر التحدي على اكتشاف الخلل، بل يشمل سرعة الإبلاغ عنه وإصلاحه وحماية الأنظمة المتأثرة.
وفي هذه الحالة، نسّقت الجهات المعنية الكشف عن الثغرات قبل الإعلان عنها على نطاق واسع. وأتاح ذلك لمطوري PHP الوقت اللازم لإعداد التحديثات الأمنية. وتبرز هذه الخطوة أهمية الإفصاح المنسق عن الثغرات، خصوصا عندما تتعلق ببرمجيات واسعة الاستخدام.
لماذا تهدد ثغرات PHP عددا كبيرا من المواقع؟
PHP لغة برمجة نصية تعمل على الخوادم، ويعتمد عليها المطورون في إنشاء المواقع والتطبيقات الإلكترونية. وتشغّل هذه اللغة أنظمة لإدارة المحتوى ومنصات للتجارة الإلكترونية، كما تدعم خدمات رقمية يتعامل معها المستخدمون يوميا.
وتشير تقديرات متداولة في القطاع إلى ارتباط PHP بنحو 70 في المائة من المواقع الإلكترونية. ويوضح هذا الانتشار حجم التأثير المحتمل لأي خلل خطير في اللغة. ومع ذلك، لا يعني الرقم أن جميع المواقع تواجه مستوى الخطر نفسه، لأن الحماية تعتمد على إصدار PHP وطريقة تشغيله والتحديثات المثبتة.
وتشمل المواقع التي تعتمد على PHP منصات إخبارية ومدونات ومتاجر إلكترونية وخدمات مؤسساتية. وإذا واصل مشغلوها استخدام إصدار معرض للثغرات دون تحديث، فقد يستهدف المهاجمون خوادمها للوصول إلى البيانات أو تعطيل الخدمات أو زرع شيفرات ضارة.
وتتعقد المعالجة عندما تعتمد المواقع على إضافات وخدمات خارجية أو بنى تقنية تديرها جهات أخرى. لذلك، يحتاج المشغلون إلى التحقق من توافق هذه المكونات مع الإصدارات الجديدة. كما ينبغي لهم التأكد من تحديث جميع الخوادم وبيئات التشغيل، وليس الموقع الظاهر للمستخدم فقط.
توقف المواقع لا يثبت وقوع اختراق
أثار خروج مواقع إلكترونية عن الخدمة تساؤلات بشأن احتمال استغلال الثغرات قبل إصلاحها. لكن بعض المؤسسات توقف خدماتها مؤقتا لتقليل المخاطر، بينما يحدّث فريقها التقني الخوادم ويتحقق من سلامة الأنظمة.
وفي المقابل، لا يثبت استمرار الموقع في العمل أنه لم يتعرض للاختراق. ويتطلب التحقق من سلامة الأنظمة فحص سجلات الخوادم ومراجعة الطلبات المشبوهة. كما ينبغي للفرق التقنية البحث عن مؤشرات على تنفيذ تعليمات غير مصرح بها أو الوصول إلى بيانات حساسة.
وتناولت تقارير أمنية متخصصة مخاطر استغلال هذه الثغرات، بما فيها احتمال وقوع محاولات للهجوم. لذلك، ينبغي التمييز بين المعلومات التي يؤكدها فريق تطوير PHP بشأن طبيعة الخلل والتحديثات المطلوبة، وبين تقديرات الباحثين بشأن استغلاله فعليا.
وتواجه المواقع التي لم يحدّث مشغلوها أنظمتها مخاطر أكبر، خصوصا عندما يجهلون الإصدارات التي يستخدمونها. وقد يستغرق أصحاب المدونات والمواقع الصغيرة وقتا أطول لاكتشاف المشكلة وتطبيق الإصلاحات، مقارنة بالمؤسسات التي تمتلك فرقا تقنية متخصصة.
تحديث البرمجيات جزء من منظومة الحماية
لا يكفي تثبيت الإصدار الجديد لإنهاء التعامل مع الثغرات الأمنية. بل يتعين على المؤسسات التأكد من نجاح التحديث ومراجعة الأنظمة المرتبطة بالخوادم. كما ينبغي للفرق التقنية فحص السجلات عند رصد نشاط مشبوه، للتحقق من احتمال استغلال الخلل قبل تثبيت الإصلاح.
وقد يؤدي وصول المهاجمين إلى البيانات الشخصية إلى مخاطر لاحقة، من بينها استغلالها في عمليات التصيد الاحتيالي. ويحاول المحتالون في هذه الهجمات خداع المستخدمين لحملهم على كشف كلمات المرور أو معلومات الحسابات المالية.
وتتطلب مواجهة هذه المخاطر تحديث البرمجيات ومراقبة الخوادم وإدارة الصلاحيات وحماية البيانات والنسخ الاحتياطية. كما ينبغي للمؤسسات متابعة التنبيهات الأمنية التي يصدرها مطورو البرمجيات ومزودو الخدمات الذين تعتمد عليهم.
وتكشف ثغرات PHP الأخيرة عن تحد مزدوج في عصر الذكاء الاصطناعي. فمن جهة، تساعد هذه التقنيات الباحثين على اكتشاف العيوب الأمنية بسرعة أكبر.
ومن جهة أخرى، قد يستغلها المهاجمون لتطوير أساليب هجومية أكثر تطورا. لذلك، تظل سرعة التحديث والتنسيق بين المطورين ومشغلي المواقع عاملين أساسيين للحد من المخاطر وضمان استمرارية الخدمات الرقمية.
