تحديثات عاجلة لإغلاق ثغرتين تسمحان بالتحكم في الخوادم دون تسجيل دخول
ثغرات خطيرة في PHP تهدد مواقع الإنترنت وتحذيرات أمنية عالمية
دخلت أزمة ثغرات PHP مرحلة جديدة بعد إصدار تحديثات أمنية لمعالجة خللين خطيرين قد يسمحان للمهاجمين بتنفيذ أوامر برمجية عن بُعد على خوادم المواقع دون تسجيل الدخول، بالتزامن مع تحذير إضافي يتعلق بإحدى خصائص إدارة الجلسات في اللغة. وأطلقت جهات الأمن السيبراني الأوروبية والبريطانية والأمريكية تنبيهات للمؤسسات التي تعتمد على PHP، المستخدمة في تشغيل نسبة كبيرة من مواقع الإنترنت. وبينما رُصدت محاولات واسعة لاستغلال الثغرات، لا تعني هذه المحاولات بالضرورة نجاح اختراق المواقع المستهدفة. وتتمثل الأولوية الحالية في التأكد من تثبيت الإصدارات المصححة ومراجعة إعدادات الخوادم، خصوصًا بعد ظهور تنبيه أمني لاحق للإصلاحات الأساسية.
إصدارات PHP الجديدة والثغرات التي عالجتها
أصدر فريق تطوير PHP أربع نسخ أمنية لمعالجة الثغرتين المسجلتين تحت الرقمين CVE-2026-109618 وCVE-2026-109619، بعدما صنفهما بدرجة خطورة تبلغ 9.2 من أصل 10 وفق المعيار المستخدم في تقييم الثغرات.
وتشمل الإصدارات المصححة PHP 8.2.35 وPHP 8.3.36 وPHP 8.4.27 وPHP 8.5.12، وهي النسخ التي أوصى المشروع بالانتقال إليها لمعالجة الخللين الأساسيين.
وتكمن خطورة الثغرة الأولى في إمكانية حدوث تلف بذاكرة الخادم عند التعامل مع حالات نفاد الذاكرة، بينما ترتبط الثانية باستمرار استخدام بيانات داخلية بعد تحرير الذاكرة المخصصة لها.
وقد تسمح هذه الأخطاء، في ظروف معينة، للمهاجم بالتحكم في تنفيذ تعليمات برمجية داخل الخادم، بما قد يهدد البيانات والخدمات التي يديرها الموقع المصاب.
ولا تقتصر دائرة التأثر على المواقع التي تستخدم PHP بصورة مباشرة، إذ تدخل اللغة ضمن البنية البرمجية لعدد من أنظمة إدارة المحتوى والتطبيقات والخدمات الإلكترونية.
وأكد المشروع أن بعض الإصدارات القديمة، وعلى رأسها PHP 8.1 وما قبلها، لم تعد تتلقى تحديثات أمنية مباشرة منه، مع إمكانية توفير إصلاحات خاصة لبعض الأنظمة عن طريق الشركات المسؤولة عن دعمها الممتد.
تحذير إضافي بعد طرح الإصلاحات الأمنية
لم تنتهِ المتابعة الأمنية عند إصدار التحديثات الأربعة، إذ نشر فريق PHP تنبيهًا لاحقًا بشأن احتمال نادر لتنفيذ تعليمات برمجية عن بُعد يرتبط بخاصية تتبع تقدم رفع الملفات داخل جلسات المستخدمين.
وحمل الخلل الإضافي الرقم CVE-2026-115560، وأوضح المشروع أن ظهوره يتطلب اجتماع إعدادات برمجية غير معتادة، من بينها تغيير طريقة حفظ بيانات الجلسات أثناء تشغيل التطبيق مع استمرار تفعيل خاصية تتبع رفع الملفات.
وتبرز أهمية هذا التحذير في أن المشكلة قد تظهر حتى مع تثبيت الإصدارات التي أصلحت الثغرتين الأصليتين، ولكن في ظروف تشغيل محددة، وليس في جميع المواقع التي تستخدم PHP.
وأوصى المشروع بتعطيل الإعداد session.upload_progress.enabled مؤقتًا في البيئات التي تتطلب ذلك، لحين صدور الإصلاح الكامل ضمن إصدار لاحق.
ولا يعني هذا التحذير أن تحديثات PHP السابقة فشلت في معالجة الثغرتين الأساسيتين؛ فالخلل الإضافي يتعلق بمسار مختلف وظروف محدودة، ويستلزم التعامل معه بصورة مستقلة.
كيف تحولت الثغرات إلى أزمة أمن سيبراني عالمية؟
بدأ التصعيد بعدما كشفت فرق بحثية، بمساعدة أدوات الذكاء الاصطناعي، عن مشكلات أمنية عميقة في مكونات أساسية داخل PHP، ضمن عملية شاركت فيها جهات متخصصة وشركات تقنية بالتنسيق مع مؤسسة PHP.
وأوضحت شركة أوبن إيه آي أن اكتشاف إحدى الثغرات جرى باستخدام نموذج ذكاء اصطناعي متقدم، بينما توصل باحثون آخرون بصورة مستقلة إلى الثغرات نفسها، ما ساعد على تحديد حجم المخاطر وتطوير الإصلاحات اللازمة.
لكن عملية الإفصاح المنسق واجهت اضطرابًا بعدما انتشرت معلومات عن الثغرات قبل الموعد المقرر لإعلانها، ثم نشرت شركة تشين جارد إصدارات برمجية تحتوي على الإصلاحات قبل صدورها رسميًا للجميع.
واتهمت مؤسسة PHP الشركة بخرق الترتيبات الخاصة بالإفصاح الأمني، معتبرة أن النشر المبكر أتاح إمكانية دراسة الإصلاحات واستخلاص معلومات عن نقاط الضعف قبل أن تصبح التحديثات متاحة لجميع المستخدمين.
في المقابل، دافع دان لورينك، الرئيس التنفيذي لشركة تشين جارد، عن قراره، مشيرًا إلى اعتقاده بوجود محاولات استغلال فعلية، مع إقراره بأن عملية الإفصاح تسببت في ضغوط إضافية على الجهات المشاركة.
وأدى تسارع الأحداث إلى اتخاذ بعض المؤسسات الحكومية إجراءات احترازية، شملت تعطيل مواقع إلكترونية مؤقتًا حتى التأكد من مستوى الحماية وإمكانية تثبيت الإصلاحات.
هل تعرضت مواقع الإنترنت لاختراقات ناجحة؟
تختلف محاولات استغلال الثغرات عن نجاح المهاجم في السيطرة على الخادم أو الوصول إلى بياناته، وهي نقطة أساسية لفهم حجم الأزمة دون تضخيم نتائجها.
فقد رصدت شركات متخصصة في حماية البنية التحتية للإنترنت حركة هجومية تستهدف الثغرات الجديدة، كما أعلنت كلاود فلير نشر قواعد حماية مخصصة للحد من محاولات الاستغلال.
لكن مؤسسة PHP أوضحت أنها لم تتوصل إلى استغلال عملي ناجح ضمن النماذج التي فحصتها عند إصدار التحديثات، رغم انتشار محاولات وتجارب لاستغلال نقاط الضعف.
ولا تمثل هذه النتيجة تأكيدًا بأن جميع المواقع كانت آمنة أو أن أي اختراق لم يقع في أي مكان، وإنما تعكس نطاق الأدلة التي تمكن الفريق من مراجعتها.
وتبقى خطورة المشكلة مرتبطة بقدرة المهاجم على استغلال الإصدارات الضعيفة والظروف التقنية المناسبة، وليس بمجرد استخدام الموقع للغة PHP.
ما الإجراءات المطلوبة لحماية المواقع من ثغرات PHP؟
حددت الجهات المختصة مسارًا واضحًا للتعامل مع الأزمة، يبدأ بحصر المواقع والتطبيقات التي تعتمد على PHP، وتحديد الإصدارات المستخدمة، ثم تثبيت التحديثات الأمنية المناسبة لكل بيئة تشغيل.
وشدد المركز الوطني للأمن السيبراني البريطاني على إعطاء الأولوية للخوادم المتصلة مباشرة بالإنترنت، مع مراجعة التطبيقات والخدمات التي تتضمن PHP ضمن مكوناتها حتى لو لم تظهر هذه اللغة بوضوح للمستخدمين.
كما أوصى بالتحقق من أن التحديثات جرى تطبيقها فعليًا على الخوادم، وليس الاكتفاء بتحميل ملفات الإصلاح دون تشغيل النسخ الجديدة.
وفي الحالات التي يتعذر فيها التحديث فورًا، يمكن تطبيق تدابير مؤقتة وفق إرشادات فريق PHP والجهة المسؤولة عن الاستضافة، لكنها لا توفر حماية كاملة بديلة عن الإصلاحات الرسمية.
وقد يستلزم الأمر عزل بعض الخدمات المعرضة للخطر أو إيقافها مؤقتًا إذا تعذر تأمينها، مع مراجعة سجلات الخوادم للبحث عن مؤشرات أي نشاط غير معتاد.
أما المستخدم العادي الذي يتصفح المواقع، فلا تكفي زيارة موقع يعمل بلغة PHP للاستنتاج بأن جهازه تعرض للاختراق، لأن طبيعة الثغرات تتعلق أساسًا بالخوادم التي تدير المواقع والتطبيقات.
وتوضح الأزمة اتساع تأثير أدوات الذكاء الاصطناعي على الأمن السيبراني، بعدما أصبحت قادرة على مساعدة الباحثين في اكتشاف أخطاء معقدة، في الوقت الذي قد تستفيد فيه الجهات المهاجمة من قدرات مشابهة.
وتظل النتيجة العملية الأهم أن الإصلاحات الأساسية أصبحت متاحة، بينما تتطلب بعض حالات التشغيل متابعة التنبيهات الإضافية، بما يجعل سرعة التحديث والتحقق من إعدادات الحماية العامل الحاسم في الحد من التعرض للمخاطر.