كشف خبراء الأمن عن ثغرتين بالغتي الخطورة في لغة PHP التي تشغل ملايين المواقع، ما وضع الحكومات والشركات في حالة تأهب قصوى خشية استغلالهما للسيطرة على الخوادم عن بعد.
الثغرتان تم رصد مخاطرهما بمساعدة الذكاء الاصطناعي، وتسببتا بالفعل في ارباك خدمات حكومية في بريطانيا وفنلندا واليابان، بينما تسابق الجهات التقنية الزمن لتثبيت الحماية، حسب ما نقلته وكالة اسوشيتد برس.
مكتب التحقيقات الفيدرالي الامريكي حذر من أن المهاجم قد ينفذ اوامر خبيثة داخل الخادم المصاب، وهو ما يفتح الباب امام سرقة البيانات أو تغييرها أو تحويل النظام المخترق الى منصة لهجمات جديدة.
الثغرتان تحملان الرمزين CVE-2026-109618 و CVE-2026-109619، وبلغت درجة خطورتهما 9.2 من 10 وفق مقياس CVSS في نسخته الرابعة. الاولى ناتجة عن خلل عند نفاد الذاكرة، والثانية عن استخدام بيانات داخلية بعد تحرير الذاكرة، وهي اخطاء تمنح المخترق فرصة الوصول الكامل.
فريق تطوير PHP اطلق يوم الاربعاء 21 اكتوبر حزمة اصلاحات شملت النسخ 8.2.35 و 8.3.36 و 8.4.27 و 8.5.12، وطالب الجميع بتحديث انظمتهم فورا، مؤكدا أن الخطر يطال بيئات تشغيل متنوعة مثل PHP-FPM و Apache و LiteSpeed، وقد يحدث الاختراق حتى قبل تشغيل كود الموقع نفسه.
وكالة الاتحاد الاوروبي للامن السيبراني ENISA دعت المؤسسات الى تحديد جميع الانظمة التي تعمل بـ PHP، والبدء بالخوادم المكشوفة على الانترنت، والتنسيق المباشر مع مزودي الاستضافة لسد الثغرة.
في المقابل شهدت خدمات حكومية اوروبية واسيوية انقطاعات مؤقتة اثناء تطبيق التحديثات، فيما شددت السلطات الامريكية والبريطانية على ضرورة عدم ابقاء الانظمة المكشوفة قيد التشغيل، واقترحت عزلها أو ايقافها حتى تأمينها.
تقارير تقنية اوضحت أن ادوات الذكاء الاصطناعي هي من كشفت طرق استغلال الثغرتين، رغم أن احدى المشكلات كانت معروفة بشكل اولي منذ 2024، واعترفت مؤسسة PHP بوجود قصور في طريقة تعاملها مع البلاغات الامنية.
ويرى مختصون أن الذكاء الاصطناعي يضاعف قدرة الباحثين على كشف العيوب، لكنه في الوقت نفسه يمنح المهاجمين سرعة اكبر في تطوير الاستغلالات.
الخبراء حذروا من موجة هجمات وشيكة على المواقع التي لم تحدث انظمتها، خاصة بعد انتشار التفاصيل الفنية واكواد الاستغلال الاولية. ورغم انتشار PHP على نطاق واسع، فان الخطر لا يطال الجميع بنفس الدرجة، بل يعتمد على رقم الاصدار وبيئة التشغيل وسرعة التحديث، ويبقى التحديث الفوري هو خط الدفاع الاول.
