PHP تُطلق تصحيحات عاجلة لثغرتَي تنفيذ تعليمات برمجية استُغِلَّتا قبل إعلانهما

أصدر مشروع PHP تصحيحات أمنية طارئة في 21 أكتوبر 2026 لإصلاح ثغرتَي تنفيذ تعليمات برمجية عن بُعد دون مصادقة ذواتَي خطورة بالغة، غير أن المهاجمين كانوا يستغلّونهما منذ 17 أكتوبر، أي أربعة أيام قبل توافر الإصلاح. وأوصت وكالة الأمن القومي الأمريكية المنظماتِ التي تشغّل PHP بالتحديث الفوري أو نقل الأنظمة المتأثرة إلى وضع غير متصل.

تحمل كلتا الثغرتَين درجة CVSS v4.0 تبلغ 9.2. وتوقفت مواقع حكومية ومدارس ومستشفيات حول العالم عن العمل خلال عمليات التصحيح الطارئة وفق ما أوردته رويترز. ووصف متخصصون أمنيون نطاق الأزمة بأنه مماثل لأزمة Heartbleed عام 2014 بل يتجاوزها في بعض جوانبها.

تفاصيل الثغرات

تنشأ CVE-2026-109618 عن خلل في إدارة الذاكرة عند بلوغ الحد الأقصى لها؛ إذ يمكن أن تُخلّف طلبيةٌ ما بياناتٍ غير مكتملة التهيئة تعاملها PHP لاحقاً كبيانات سليمة. وعلى خوادم Apache التي تستخدم mod_php، يمكن لمهاجم غير مصادَق استغلالها قبل تشغيل كود التطبيق، وقد جرى تأكيد تنفيذ تعليمات برمجية كاملة في الإعدادات الافتراضية.

أما CVE-2026-109619 فتستغل حالة عالمية قديمة؛ إذ يمكن لخطأ فادح في لحظة غير ملائمة أن يُبقي الحالة الداخلية لـPHP مشيرةً إلى ذاكرة طلبية سابقة، مما يُمكّن طلبيةً لاحقة في العملية ذاتها من استغلال المؤشر المتدلي وتنفيذ تعليمات برمجية.

أدوات الذكاء الاصطناعي اكتشفت الثغرات، وتسريب الحظر فاقم الأزمة

اكتشفت فِرَق بحثية متعددة السبب الجذري باستقلالية منذ أغسطس 2026؛ فقد أجرت Alpha-Omega فحصاً لـPHP باستخدام Claude Mythos من Anthropic، فيما أرسل مشاركون في برنامج Patch the Planet من OpenAI أول تقرير تنفيذ تعليمات برمجية كامل في 11 أغسطس. وفي 20 أكتوبر، تسرّبت معرّفات CVE عبر الإنترنت، ثم نشر الباحث Calif بالخطأ فيديو إثبات مفهوم عمّ انتشاره على منصات التواصل الاجتماعي. وفي اليوم التالي، نشرت Chainguard صور Docker المُصلَّحة قبل أكثر من ست ساعات من الموعد المقرر للإفصاح العام. وأكد محللو AWS لـWired أن الاستغلال بدأ في 17 أكتوبر.

الإصلاح استغرق أشهراً وهذا كان الإخفاق الحقيقي

أقرّت PHP Foundation في مراجعتها بأن السبب الجذري رُصد عام 2024 غير أن الإصلاح تأخر أشهراً بسبب خلافات حول المقايضات التقنية. ووصفت المؤسسة ذلك بأنه «إخفاق هيكلي»، مُعلنةً إنشاء فريق أمان نظام بيئي جديد وتعيين مهندسين إضافيين وإصلاح آليات اتخاذ القرار.