أصدر مشروع PHP تحديثات طارئة للإصدارات 8.5.12 و8.4.27 و8.3.36 و8.2.35، تُصلح ثغرتين خطيرتين تتيحان لمهاجم غير مُصادَق عليه تنفيذ كود على الخوادم التي تعمل بـPHP. وحذّرت مؤسسة PHP Foundation من أن التحديث إلزامي لمن يستخدم PHP.
تكمن الثغرتان في إدارة الذاكرة ومعالجة الأخطاء، وهما جزءان من المحرك تلمسهما كل طلب تقريبًا. ويُتتبَّع الخلل الرئيسي تحت الرمز CVE-2026-109618 بتقييم CVSS يبلغ 9.2، مع أن تقييمًا مسرَّبًا بلغ 10.0 تداوله البعض قبل الإعلان الرسمي. وتنتشر أدوات الاستغلال منذ ليلة 20 أكتوبر بعد تسريب في مسار الكشف المنسَّق، ما يجعل الترقيع الفوري أمرًا عاجلًا.
ما هي ثغرة CVE-2026-109618؟
بحسب مؤسسة PHP Foundation، يعود السبب الجذري إلى عام 2024 حين اكتُشفت مشكلة نفاد الذاكرة (OOM) خلال أول تدقيق أمني خارجي لـPHP منذ سنوات. وقد موّل هذا التدقيق Sovereign Tech Agency عبر OSTIF ونفّذته Quarkslab. ونوقش آنذاك استغلال نظري، لكن لم يُعثر على أي مسار هجوم فعلي.
اتضح أن إصلاح مشكلة نفاد الذاكرة بالغ الصعوبة. طوّر فريق الأمن عدة مقاربات متعارضة، لكن كل واحدة منها إما كسرت التوافق مع الإصدارات السابقة، أو أدخلت مخاطر جديدة لحرمان الخدمة، أو تطلّبت تغييرات في العديد من الإضافات الخارجية بدا تنسيقها مستحيلًا. ولأن الفريق يعمل بالتوافق ولا يملك مسارًا معروفًا لتنفيذ الكود عن بُعد، توقّف العمل ثم استُؤنف مرارًا على مدى أشهر. وتصف المؤسسة هذا التأخير الآن بأنه فشل بنيوي ناتج عن آلية اتخاذ القرار ونقص الموارد.
كيف اكتُشفت الثغرات وأُصلحت؟
في 11 أغسطس 2026، أبلغ الباحث Ryan A من شركة الأمن Calif عن تنفيذ غير مشروط للكود عن بُعد بالسبب الجذري نفسه المرتبط بمشكلة نفاد الذاكرة. وأبلغت OpenAI بشكل مستقل عن السبب الجذري نفسه في اليوم ذاته، ثم تبعتها مسارات هجوم إضافية من OpenAI في 18 سبتمبر ومن Wiz في 24 أغسطس. وكانت Calif قد بدأت تدقيق PHP في 30 يوليو ضمن برنامج Patch the Planet، كما يخضع المشروع لتدقيق من Trail of Bits.
أعادت المؤسسة تنظيم عملها الأمني استجابة لذلك. أنشأت فريق Ecosystem Security Team في مايو 2026، واستقطبت Volker Dusch في منصب AI Security Engineer in Residence، وأضافت Alexandre Daubois في يوليو وDaniel Scherzer في سبتمبر. كما خضع PHP للفحص بأدوات Claude Mythos من Anthropic وDaybreak Red من OpenAI، إلى جانب بيئات sanitizer وبيئات إعادة إنتاج الثغرات.
