التطبيقات والبرامج

ثغرتان حرجتان في PHP كادتا تُسقطان الإنترنت العالمي

كشفت أبحاث أمنية عن ثغرتين خطيرتين في PHP سمحتا بتنفيذ أكواد عن بُعد دون مصادقة، مما دفع ملايين المواقع لاتخاذ إجراءات طارئة.

رضوان عبدالهاديمحرر وكاتب تقني

نُشر: 25 أكتوبر 2026 · آخر تحديث: 25 أكتوبر 2026 · 4 دقائق قراءة

ثغرتان حرجتان في PHP كادتا تُسقطان الإنترنت العالمي — الصورة: TechCrunch

صدمة تقنية تهدد بنية الويب

في حدث غير مسبوق، كادت تقنية PHP، وهي لغة برمجة مفتوحة المصدر عمرها عقود، أن تُسقط جزءاً كبيراً من الإنترنت. اكتشف باحثون أمنيون ثغرتين حرجتين كانتا كامنتان لسنوات، حتى تمكّنوا مؤخراً من إيجاد طريقة لاستغلالهما. هذه الثغرات، التي أُطلق عليها اسم PHP2Shell، سمحت لأي شخص يملك معرفة تقنية كافية باختراق الأنظمة التي تعمل بهذه اللغة دون الحاجة إلى كلمات مرور أو صلاحيات دخول.

أثارت هذه الاكتشافات حالة من الذعر في الأوساط التقنية، حيث اضطر ملايين المستخدمين والشركات حول العالم إلى التسارع في تطبيق التصحيحات قبل أن يستغلها القراصنة. أصدرت مؤسسة PHP، المسؤولة عن صيانة هذه التقنية، تصحيحات عامة يوم الأربعاء، مما منع هجمات محتملة على الخوادم المرتبطة بالإنترنت. وقد حصلت بعض أكبر شركات الإنترنت ومضيفي المواقع على هذه التصحيحات مبكراً ضمن إطار تنسيق سري. ويمكن الرجوع إلى CVE-2026-109618 and CVE-2026-109619 للاطلاع على التفاصيل الأصلية للمصدر.

آلية الاستغلال الخطيرة

تتمثل خطورة هذه الثغرات في إمكانية استغلالها عن بُعد عبر الإنترنت دون أي تفاعل من المستخدم، مثل النقر على رابط أو فتح ملف. يُعرف هذا النوع من الهجمات بتنفيذ الأكواد عن بُعد، وهو من أخطر أنواع الثغرات لأنه يمنح المهاجم تحكماً كاملاً تقريباً في النظام المصاب إذا لم يتم تصحيحه. بالإضافة إلى ذلك، تتيح هذه الثغرات الوصول غير المصادق إليه، أي اختراق أي نظام غير مصحح دون الحاجة إلى أي بيانات اعتماد.

بمجرد السيطرة على النظام، يمكن للمهاجم زرع برمجيات خبيثة لسرقة البيانات أو إنشاء نقطة وصول دائمة للعودة إليها لاحقاً. ونظراً لانتشار PHP الواسع، فإن التأثير المحتمل كان سيكون كارثياً، حيث تعتمد حوالي 70% من المواقع المرتبطة بالإنترنت على هذه اللغة، رغم أن استخدامها في تراجع تدريجي لصالح لغات أحدث وأكثر أماناً.

تنسيق صناعي لتفادي الكارثة

بفضل أسابيع من التنسيق السري عبر مختلف قطاعات الصناعة، نجح العالم في تجنب استغلال واسع النطاق للإنترنت حتى الآن. بدأت الحكومات في حث المواطنين والشركات على اتخاذ إجراءات للتخفيف من المخاطر، بينما أغلقت صناعات متنوعة مواقعها الإلكترونية وسحبت خدماتها من الإنترنت مؤقتاً لتطبيق التصحيحات. وشملت هذه الإجراءات البنوك، والمتاجر، ومواقع الألعاب، والمستشفيات، وبعض الوكالات الحكومية.

مع ذلك، يحذر خبراء الأمن من أن الوضع لم ينته بعد، حيث لا تزال أعداد كبيرة من الأنظمة حول العالم غير مصححة وعرضة للاختراق وسرقة البيانات. كما يُتوقع أن يكون هذا الحدث ليس الأخير، مع توقعات بأن يؤدي ظهور الذكاء الاصطناعي إلى اكتشاف ثغرات غير مكتشفة بسرعة أكبر، مما يزيد من حدة المخاطر المستقبلية.

دور الذكاء الاصطناعي في الاكتشاف

اكتشف باحثو شركة Calif الثغرتين خلال تدقيق أمني شامل لكود PHP، وهي لغة تُستخدم لبناء المواقع والتطبيقات على الإنترنت وفي الشبكات الداخلية للشركات. تم اكتشاف الثغرات لأول مرة في عام 2024، لكن لم تُعتبر قابلة للاستغلال آنذاك، ولم يتم تصحيحها. ومع ذلك، وجد الباحثون مؤخراً طريقة لاستغلالها، مما دفعهم إلى إخطار مطوري البرنامج.

شاركت Calif في مبادرة Hack the Planet التي أطلقتها شركة OpenAI و Wiz، حيث تم التحقق من نماذج الاستغلال التي طورها الباحثون. أوضح الباحثون في تقريرهم أن الذكاء الاصطناعي ساعد في عملية الاستغلال، لكن الجزء الأكبر من العمل اعتمد على معرفتهم العميقة بكود PHP وتاريخ استغلاله. وأكدوا أن النماذج الحالية غير قادرة على اكتشاف جميع الثغرات عبر أوامر بسيطة.

أسئلة حول التسريب المبكر

رغم الجهود المبذولة للحفاظ على سرية تفاصيل الثغرات حتى يوم الأربعاء، يبدو أن هناك استغلالاً مبكراً لثغرتي PHP2Shell قبل إصدار التصحيحات. أعلنت شركة أمازون، التي تمتلك رؤية واسعة للتهديدات الإلكترونية، أنها رصدت محاولات استغلال قبل أسبوع من توفر التصحيحات، مما يشير إلى أن أحداً كان يعرف كيفية استغلال الثغرات قبل توفر التفاصيل علنياً.

توجد عدة نظريات حول ما حدث؛ فبمجرد تصحيح الثغرة، قد تصبح تفاصيل التصحيح واضحة، خاصة في حالة الكود المفتوح المصدر مثل PHP. وقد يكون هناك تسريب أو خلل في التواصل خلال فترة الحظر الإعلامي. كما لا يستبعد الخبراء أن يكون القراصنة قد اكتشفوا الثغرات بشكل مستقل أو عبر التجسس. ولوّحت مؤسسة PHP بإلقاء اللوم على شركة واحدة دفعت التصحيحات قبل انتهاء فترة الحظر، مما قد يكون أعطى بعض الأطراف ميزة زمنية.