أثارت ثغرتان أمنيتان خطيرتان في لغة البرمجة «PHP» موجة من التحذيرات في أوساط الأمن السيبراني، بعدما كشفتا عن إمكانية تنفيذ تعليمات برمجية عن بُعد على خوادم المواقع الإلكترونية، دون الحاجة إلى تسجيل الدخول، وهو ما قد يتيح للمهاجمين الوصول إلى بيانات حساسة أو التلاعب بمحتوى المواقع والأنظمة المتضررة.
وتحمل الثغرتان المعرفين CVE-2026-109618 وCVE-2026-109619، وتعرفان باسم «PHP2Shell»، وقد صنفتا ضمن الثغرات الحرجة بدرجة خطورة بلغت 9.2 من أصل 10 وفق نظام التقييم الأمني CVSS.
وتكمن خطورة هذه الثغرات في أنها قد تسمح للمهاجم بتنفيذ أوامر برمجية على الخادم المستهدف دون مصادقة مسبقة، ما يفتح المجال أمام سرقة البيانات أو تعديل محتوى المواقع أو تثبيت برمجيات خبيثة، بحسب طبيعة صلاحيات العملية التي تشغل PHP على الخادم.
وتكتسب هذه المشكلة أهمية واسعة بالنظر إلى الانتشار الكبير للغة PHP، التي تشكل إحدى التقنيات الأساسية المستخدمة في تطوير وتشغيل المواقع الإلكترونية، بما فيها منصات إدارة المحتوى والمتاجر الإلكترونية والخدمات الرقمية.
ما الذي يجعل ثغرات PHP2Shell خطيرة؟
بحسب التنبيهات التقنية الصادرة عن فريق تطوير PHP، ترتبط الثغرة الأولى، CVE-2026-109618، بخلل في معالجة حالات نفاد الذاكرة، قد يؤدي إلى التعامل مع بيانات داخلية غير مكتملة التهيئة، بينما ترتبط الثانية، CVE-2026-109619، ببقاء حالة داخلية مرتبطة بالطلب البرمجي بعد تحرير الذاكرة التي كانت مخصصة لها.
وقد يؤدي استغلال هذه الأخطاء إلى تنفيذ تعليمات برمجية عن بُعد، وهو سيناريو بالغ الخطورة بالنسبة إلى الخوادم التي تستقبل طلبات من الإنترنت وتشغل تطبيقات PHP.
وحذرت جهات متخصصة من أن بعض المواقع قد تلجأ إلى وضع خدماتها مؤقتا في وضع الصيانة أو تقييد الوصول إليها أثناء تثبيت التحديثات الأمنية، وهو ما قد يفسر ظهور بعض المواقع خارج الخدمة دون أن يعني ذلك بالضرورة تعرضها للاختراق.
التحديثات الأمنية متاحة.. وهذه الإصدارات المعنية
أعلن فريق تطوير PHP، يوم 21 أكتوبر 2026، إصدار تحديثات أمنية لمعالجة الثغرتين، شملت الإصدارات PHP 8.5.12 و8.4.27 و8.3.36 و8.2.35، داعيا المستخدمين إلى التحديث الفوري، ومؤكدا أن التحديث هو الإجراء الآمن لمعالجة الخطر.
وتشمل الأنظمة المعرضة للمخاطر مختلف بيئات تشغيل PHP التي تستقبل طلبات الويب، من بينها PHP-FPM وApache مع mod_php وphp-cgi وFrankenPHP وLiteSpeed، مع الإشارة إلى أن بعض طرق التشغيل قد تكون أكثر عرضة للاستغلال من غيرها.
كما نبه فريق التطوير إلى أن إصدار PHP 8.2 سيصل إلى نهاية فترة الدعم الأمني في 31 دجنبر 2026، ما يجعل الانتقال إلى إصدار أحدث مدعوم أمرا ضروريا لتفادي البقاء دون تحديثات أمنية مستقبلية.
الذكاء الاصطناعي يدخل سباق اكتشاف الثغرات
وأعادت هذه الواقعة تسليط الضوء على الدور المتنامي للذكاء الاصطناعي في مجال الأمن السيبراني، خاصة في تحليل الشيفرات البرمجية المعقدة ورصد الأخطاء التي قد يصعب اكتشافها بالوسائل التقليدية.
وتحدثت تقارير متخصصة عن مساهمة أدوات تحليل مدعومة بالذكاء الاصطناعي في عمليات البحث الأمني المرتبطة بهذه الثغرات، في وقت تتزايد فيه الاستثمارات في توظيف التقنيات الذكية لاختبار الأنظمة واكتشاف نقاط الضعف قبل استغلالها.
غير أن هذه التقنيات تطرح في المقابل تحديا أمنيا متناميا، إذ يمكن للمهاجمين الاستفادة من أدوات الذكاء الاصطناعي لتسريع البحث عن الخوادم التي لم تثبت التحديثات اللازمة، وتوسيع نطاق محاولات الاستغلال الآلي.
هل بيانات المستخدمين مهددة؟
لا تستهدف هذه الثغرات الهواتف الذكية أو الحواسيب الشخصية للمستخدمين بشكل مباشر، وإنما تتركز أساسا على الخوادم التي تشغل المواقع والتطبيقات المعتمدة على PHP.
لكن نجاح المهاجم في اختراق خادم موقع ما قد يعرض البيانات التي يحتفظ بها للخطر، بحسب طبيعة النظام وصلاحيات الوصول المتاحة، وقد تشمل هذه البيانات أسماء المستخدمين وعناوينهم وأرقام هواتفهم وكلمات المرور ومعلومات الحسابات وبيانات العملاء في المتاجر الإلكترونية.
وقد تتحول المعلومات المسروقة لاحقا إلى وسيلة لتنفيذ عمليات انتحال الهوية أو التصيد الاحتيالي أو محاولات الاستيلاء على الحسابات الرقمية.
وتؤكد هذه الحادثة أهمية الصيانة الأمنية المنتظمة للبنية الرقمية، وعدم الاكتفاء بتحديث التطبيقات الظاهرة للمستخدمين، بل ضرورة التأكد أيضا من تحديث لغة البرمجة وبيئة تشغيلها ومكونات الخادم.
وفي ظل استمرار البحث عن الأنظمة غير المحدثة، يظل التأخر في تثبيت التصحيحات الأمنية من أبرز عوامل الخطر التي قد تحول ثغرة تقنية إلى اختراق فعلي، خصوصا بالنسبة إلى المواقع الصغيرة والمؤسسات التي لا تتوفر على فرق متخصصة في الأمن المعلوماتي.