ثغرتان حرجتان في PHP تربكان مواقع حكومية وجامعية في أوروبا

بقلم هدى الجويني22 أكتوبر 2026

صورة توضيحية

أصدر مطورو لغة PHP يوم الأربعاء 21 أكتوبر 2026 إصلاحات لثغرتين حرجتين، بعد تحذيرات من وكالات أمنية وإيقاف مؤقت لمواقع حكومية ومستشفيات وجامعات في عدة دول. فما الذي تعنيه الثغرتان، ومن المعني بهما، وماذا يفعل أصحاب المواقع في تونس؟

في المختصر

أصلحت PHP ثغرتين بدرجة خطورة 9.2 من 10 في الإصدارات 8.5.12 و8.4.27 و8.3.36 و8.2.35.
طلبت وكالة الأمن القومي الأميركية إخراج الأنظمة غير المحدَّثة من الخدمة مؤقتا إلى حين إصلاحها.
بحسب المكتب الألماني لأمن المعلومات، لا يحتاج مستخدمو الهواتف والحواسيب العاديون إلى إجراء خاص.

ما الذي حدث بالضبط؟

أعلن فريق الأمن في PHP يوم 20 أكتوبر 2026 أنه سيصدر تحديثا عاجلا لثغرتين، قُدّرت خطورة كل منهما بدرجة 9.2 من 10 وفق مقياس CVSS 4.0. ونُشرت الإصلاحات يوم الأربعاء 21 أكتوبر 2026 في الإصدارات 8.5.12 و8.4.27 و8.3.36 و8.2.35.

ووصف فريق الاستجابة لطوارئ الحاسوب التابع للاتحاد الأوروبي (CERT-EU) الخطر بأنه تنفيذ تعليمات برمجية عن بُعد دون مصادقة، أي أن مهاجما قد يشغّل أوامر على خادم معرّض دون كلمة مرور. وتحمل الثغرتان المعرّفين CVE-2026-109618 وCVE-2026-109619. أما الإصدارات 8.1 وما قبلها فلم تعد تتلقى تحديثات رسمية.

وتشغّل PHP نحو 70% من مواقع الويب بحسب التقديرات المتداولة، وتعمل بها أنظمة إدارة محتوى شهيرة مثل WordPress وDrupal وJoomla.

ماذا قالت الوكالات الأمنية؟

قالت وكالة الأمن القومي الأميركية، في بلاغ نشرته الأربعاء، إن الثغرتين تتيحان في الغالب وصولا مباشرا إلى نظام ملفات الخادم أو قاعدة بياناته. وأوصت بإخراج النظام المعني من الخدمة مؤقتا إذا تعذّر التحديث الفوري، ووعدت بنشر إرشادات أكثر تفصيلا.

ودعا مكتب التحقيقات الفيدرالي الأميركي المؤسسات إلى الإبلاغ عن أي مؤشرات اختراق، وعزل الأنظمة المصابة، والاحتفاظ بسجلات الخادم.

وصنّف المكتب الاتحادي الألماني لأمن المعلومات الخطر في المستوى 3 («برتقالي»)، ونصح بفصل الخوادم عن الشبكة عند الضرورة، مع تنبيه خاص للإصدارات القديمة التي لم تعد مدعومة.

كيف تفاعلت الدول؟

في بلجيكا، أوقفت وزارة الخارجية مواقعها مؤقتا عقب تقارير عن هجمات تستغل الثغرة، بينما أعلن المركز البلجيكي للأمن السيبراني أنه لم يسجل أي هجوم على مواقع البلاد.

وفي ألمانيا، عطّلت وزارة الرقمنة الاتحادية بعض المواقع إجراءً احترازيا، كما أوقفت جهات أخرى مواقع بعض المستشفيات والجامعات. وبحلول صباح الخميس 22 أكتوبر عادت مواقع كثيرة إلى العمل، بينما بقيت بوابة برلين متاحة جزئيا.

وأعلنت هولندا وفرنسا وفنلندا وتشيكيا إجراءات مماثلة. وفي اليابان، دعت رئيسة الوزراء سناء تاكايتشي، عبر منصة X، المؤسسات إلى التحقق من استخدام مواقعها العامة للغة PHP والاستعداد لتطبيق الإصلاح فور صدوره.

وتتباين التقييمات بشأن الهجمات الفعلية: قال المدير التقني لشركة Cloudflare إن الشركة بدأت ترصد هجمات أولية، في حين أفادت جهات في بلجيكا وفنلندا وأستراليا بأنها لم ترصد استغلالا للثغرتين.

كيف اكتُشفت الثغرتان؟

بحسب شركة OpenAI، عثرت شركة Calif على إحدى الثغرتين باستخدام نموذج GPT-5.6 Sol ضمن برنامج «Patch the Planet»، فيما أبلغت شركة Wiz بصورة مستقلة عن الثغرتين معا. وتقول OpenAI إن الذكاء الاصطناعي رصدهما، بحسب علمها، قبل المهاجمين.

وجاء الإصلاح بعد نحو شهرين من التنسيق بين مشرفي PHP وباحثين ومزودي بنى تحتية. وكان الكشف مقررا يوم الخميس 22 أكتوبر قبل أن تتسرب معلومات عنه، وفق شركة watchTowr للأمن السيبراني.

وأعلنت OpenAI التزامها بمليار دولار في شكل وصول مدعوم إلى خدمات «Daybreak» للمدافعين في الخطوط الأمامية، خصوصا المؤسسات محدودة الموارد التي تحمي خدمات أساسية. وهو التزام أعلنته الشركة، وليس مبلغا سُلّم نقدا.

ماذا يعني ذلك لأصحاب المواقع في قفصة وتونس؟

أوضح المكتب الألماني لأمن المعلومات أن مستخدمي الهواتف والحواسيب العاديين لا يحتاجون إلى إجراء خاص، لأن الثغرتين تمسّان الخوادم لا الأجهزة الشخصية. لكنهم قد يتأثرون بتعطل خدمات إلكترونية أو بتسرب بيانات.

أما من يدير موقعا لجمعية أو بلدية أو شركة، فقد يعمل موقعه على PHP إذا كان مبنيا بـWordPress أو بنظام إدارة محتوى مماثل. ويشغّل WordPress نحو 43% من المواقع، بحسب موقع W3Techs لرصد التقنيات.

وتنصح الجهات الأمنية بأن يتحقق صاحب الموقع من مزود الاستضافة عن إصدار PHP المستعمل، ويرقّيه إلى أحد الإصدارات المصححة، وينتقل إلى إصدار مدعوم إن كان على 8.1 أو أقدم. وقال فريق PHP إن التحديث هو الإصلاح الكامل الوحيد.

تمّ إعداد هذا المقال بالاستعانة بتقنيات الذكاء الاصطناعي في البحث المعمّق والتحقّق من الأخبار الزائفة، وتوليد الصور التوضيحية تحت إشراف إدارة التحرير.