تحذير عاجل من ثغرتين في PHP تهددان أمن المواقع

أصدرت وكالة الأمن القومي الأمريكية في 21 أكتوبر 2026 تحذيرًا من ثغرتين خطيرتين في PHP، ودعت الجهات التي تستخدمها إلى الاستعداد للتحديث الأمني. وفي اليوم نفسه صدرت إصلاحات لمعالجة الثغرتين اللتين قد تسمحان بتنفيذ أوامر برمجية على الخوادم عن بُعد دون تسجيل الدخول.

PHP لغة برمجة تعمل على الخوادم وتُستخدم لتشغيل مواقع وتطبيقات الويب ومعالجة طلبات الزوار. انتشارها يجعل الخلل في مكوناتها الأساسية قضية تتجاوز موقعًا واحدًا؛ فقد تستخدم مواقع مختلفة النسخة المتأثرة نفسها حتى لو اختلف تصميمها ومحتواها.

لأن استغلالهما قد يسمح بتشغيل تعليمات المهاجم على الخادم، بدل الاكتفاء بتعطيل صفحة. وأوضح فريق PHP أن الخطر أعلى عند تشغيلها عبر mod_php مع خادم Apache، حيث أُثبت إمكان بدء الهجوم قبل تنفيذ كود التطبيق نفسه.

نعم، استغلال الثغرتين لا يشترط امتلاك حساب أو معرفة كلمة مرور. المهاجم يستهدف خللًا في تشغيل PHP على الخادم، ولذلك لا تعالج قوة كلمة المرور وحدها هذه المشكلة. وجود نسخة متأثرة يعني التعرض للخطر، لكنه لا يثبت وقوع اختراق بالفعل.

حذرت وكالة الأمن القومي الأمريكية من إمكان الوصول إلى نظام ملفات الخادم أو قاعدة البيانات. وقد يشمل الأثر معلومات حساسة يحتفظ بها الموقع؛ ويتحدد نطاق الوصول بحسب صلاحيات الخدمة المستهدفة وطريقة إعداد الخادم.

لا، يتعلق التحذير بالأنظمة التي تستخدم نسخًا متأثرة من PHP لمعالجة طلبات الويب. ويشمل نطاق التحذير بيئات تشغيل متعددة، منها PHP-FPM وApache مع mod_php وLiteSpeed. المواقع التي لا تعتمد على PHP ليست مشمولة بهاتين الثغرتين لمجرد أنها موجودة على الإنترنت.

لمنع استمرار تعرض الأنظمة غير المعالجة للهجوم. أوصت وكالة الأمن القومي الأمريكية بإيقاف النظام مؤقتًا إذا تعذر تحديثه فورًا، إلى أن تُعالج المخاطر بالكامل. التوصية تخص الأنظمة المتأثرة التي لم تُحمَ بعد، وليست دعوة لإغلاق جميع المواقع.

نعم، أصدر فريق PHP التحديثات الأمنية في 21 أكتوبر 2026 ضمن الإصدارات 8.5.12 و8.4.27 و8.3.36 و8.2.35. وأكد أن التحديث هو الحل الكامل، بينما تقلل الإجراءات المؤقتة بعض طرق التعرض للهجوم دون أن تجعل النسخة المتأثرة آمنة.