أصدر فريق تطوير PHP الإصدار 8.2.35، وهو تحديث أمني عاجل يعالج ثغرتين خطيرتين قد تسمحان بتنفيذ أوامر برمجية عن بُعد دون الحاجة إلى مصادقة. وتحمل الثغرتان المعرفين CVE-2026-109618 وCVE-2026-109619، وتؤثران على شريحة واسعة من الإنترنت، نظرًا لأن PHP تشغّل أغلبية المواقع والتطبيقات الإلكترونية حول العالم.
أُعلن عن الإصدار على GitHub ووُقّع بتوقيع موثّق، وتعكس سرعة إطلاقه خطورة الثغرتين. ولأن هذا النوع من الثغرات يسمح للمهاجمين غير المصادق عليهم بتنفيذ تعليمات برمجية عشوائية على الخوادم المهددة، يُنصح مديرو الأنظمة بالترقية فورًا.
إصلاحات PHP 8.2.35 الأمنية: ما هما CVE-2026-109618 وCVE-2026-109619؟
تُوصف الثغرتان CVE-2026-109618 وCVE-2026-109619 بأنهما مشكلتان أمنيتان خطيرتان تسمحان بتنفيذ أوامر برمجية عن بُعد دون مصادقة. ورغم أن التفاصيل التقنية الكاملة لا تزال قيد الكشف، فإن التأثير المحتمل هائل: فقد يؤدي الاستغلال الناجح إلى سيطرة كاملة للمهاجمين على الخوادم المصابة، ما يفتح الباب لسرقة البيانات أو نشر برامج الفدية أو استخدام الخوادم في شبكات الروبوتات.
تؤثر الثغرتان على PHP 8.2 وربما على فروع مدعومة أخرى. ولم يُصدر فريق PHP بعدُ رقعًا لنسخ أخرى، لكن يُتوقع أن تتبعها تحديثات للإصدارين 8.3 و8.4. ويُعدّ مستخدمو الإصدارات الأقدم غير المدعومة الأكثر عرضة للخطر، ويُستحسن أن يفكروا في الانتقال إلى إصدار مدعوم في أقرب وقت ممكن.
لماذا تمسّ ثغرة PHP هذه شريحة ضخمة من الإنترنت؟
تُشكّل PHP العمود الفقري لأنظمة إدارة المحتوى الشهيرة مثل WordPress وJoomla وDrupal، إضافة إلى عدد لا يُحصى من التطبيقات الإلكترونية المخصصة. وهذا الانتشار الواسع يعني أن الثغرتين قد تُستغلال على نطاق هائل. وقد وصف باحثو الأمن الوضع بـ«نهاية العالم لـPHP» محذرين من أن محاولات الفحص والاستغلال الآلية مرجّح أنها جارية بالفعل.
على المديرين التحديث إلى PHP 8.2.35 فورًا. وإذا تعذّر الترقيع الفوري، فيُنصح بتطبيق رقع افتراضية عبر جدار حماية تطبيقات الويب (WAF) ومراقبة سجلات الخادم بحثًا عن أي نشاط مشبوه. وبالنظر إلى خطورة الوضع، لا يُنصح بتأجيل الإجراء.
