ثغرتان حرجتان في لغة “PHP” تهددان ملايين المواقع وتستوجبان التحديث الفوري

وفقا للتقارير الأمنية الصادرة عن مجتمع مطوري PHP وجهات الاستجابة للطوارئ الحاسوبية، فقد حصلت الثغرتان—اللتان سجلتا تحت الرمزين CVE-2026-109618 وCVE-2026-109619 على تقييم خطورة مرتفع بلغ 9.2 من 10 وفق مقياس CVSS 4.0.

وتكمن خطورة هاتين الثغرتين في طبيعتهما، إذ ترتبط الأولى بإدارة الذاكرة (Out-of-Memory handling) عند حدوث مقاطعة للطلبات الكبيرة مثل رفع الملفات، بينما تتعلق الثانية بالحالة العامة للذاكرة (Stale global state) وبقاء بيانات قديمة غير معاد ضبطها، يتيح هذا الخلل للمهاجمين غير المصرح لهم استغلال الثغرتين لتنفيذ شيفرات برمجية خبيثة وأوامر تحكم عن بعد (RCE) في خوادم الويب، وغالبا ما يتم ذلك قبل أن يبدأ التطبيق نفسه في معالجة طلب المستخدم.

على إثر هذا الاكتشاف، سارع فريق تطوير PHP إلى إطلاق إصدارات طارئة ورسمية لسد الثغرتين بشكل جذري، ودعا ملاك المواقع ومديري الخوادم إلى إجراء عملية ترقية فورية تشمل الإصدارات:

وفي السياق ذاته، أطلقت مراكز الاستجابة للطوارئ (مثل CERT-EU) تحذيرات مشددة دعت فيها المؤسسات والشركات إلى مراجعة أنظمتها الحية فورا، كما شهدت بعض المنصات والجامعات الكبرى توقفات واحترازات مؤقتة لعزل الأنظمة المتأثرة وتطبيق التصحيحات الأمنية تفاديا لأي خرق محتمل.

وفي ظل هذا التهديد، تواجه المواقع التي تعتمد على إصدارات PHP القديمة (مثل الإصدار 8.1 وما قبله والتي انتهى دعمها الرسمي والمعروفة بـ End-of-Life) مأزقا حقيقيا، إذ لن تحصل هذه النسخ على تحديثات أمنية رسمية، مما يضع أصحابها أمام حتمية الترقية الفورية إلى النسخ المدعومة حديثا لحماية بياناتهم ومستخدميهم.

ويهيب الخبراء التقنيون بجميع مطوري الويب ومسؤولي الأنظمة بضرورة التحقق الفوري من نسخ PHP المستخدمة على خوادمهم، والمسارعة بتثبيت التحديثات الجديدة. وفي حال تعذر التحديث الفوري، يُنصح بعزل التطبيقات الحساسة مؤقتةً عن شبكة الإنترنت، أو تقييد إعدادات الذاكرة وحجم الملفات المرفوعة كحلول مؤقتة للحد من المخاطر.