ثغرات PHP2Shell الحرجة تشعل هجمات واسعة وتعطّل خدمات ألعاب
Cloudflare رصدت ملايين محاولات الاستغلال بحلول 22 أكتوبر 2026، فيما أعلنت Square Enix رصد وصول غير مصرح به.
أفادت تقارير أمنية بنشر ثغرتين حرجتين في PHP تحملان الاسم PHP2Shell، وهما CVE-2026-109618 وCVE-2026-109619، تتيحان تنفيذ تعليمات برمجية عن بُعد، وذلك ضمن موجة من الثغرات الحرجة جرى الإبلاغ عنها خلال 48 ساعة، حسب موقع kotaku.com.
وقالت Cloudflare إنها رصدت ملايين محاولات الاستغلال ضد ثغرة PHP بحلول 22 أكتوبر 2026، فيما صنّفت تقييمات الخطورة الثغرتين عند 9.2 من 10 على مقياس CVSS.
وأعلنت Square Enix رصد حالات مؤكدة من الوصول غير المصرح به من طرف ثالث، في حين توقفت تطبيقات Pokémon عدة عن العمل لإجراء صيانة طارئة.
وكان فريق Wiz Research، الذي اكتشف ثغرة PHP، قد ذكر أن الذكاء الاصطناعي يسهّل تطوير الهجمات المعقدة وتوسيع نطاقها.
ثغرة أخرى في GitLab
إلى ذلك، أبلغت GitLab عن الثغرة CVE-2026-110264، وهي ثغرة تنفيذ تعليمات برمجية عن بُعد حاصلة على تقييم 10 من 10 على مقياس CVSS، بعد ليلة من نشر التقرير.
وفي سياق أقدم، ذكر التقرير أن Cloudflare رصدت آلاف محاولات الاستغلال في الساعات العشر التي سبقت الإعلان العلني عن ثغرة PHP، لترتفع إلى عشرات الآلاف خلال 45 دقيقة من الإعلان، وأن لعبتين من أقدم الألعاب المحمولة في اليابان ستُغلقان نهائيًا في أعقاب اكتشاف الثغرة.
أسئلة سريعة
ما هي ثغرتا PHP2Shell؟
هما CVE-2026-109618 وCVE-2026-109619، ثغرتان حرجتان في PHP تتيحان تنفيذ تعليمات برمجية عن بُعد، بتقييم 9.2 من 10 على مقياس CVSS.
ما خطورة ثغرة GitLab المعلنة؟
الثغرة CVE-2026-110264 هي ثغرة تنفيذ تعليمات برمجية عن بُعد حاصلة على تقييم 10 من 10 على مقياس CVSS.
أي شركات ألعاب تأثرت؟
أعلنت Square Enix رصد حالات مؤكدة من الوصول غير المصرح به، وتوقفت تطبيقات Pokémon عدة عن العمل لصيانة طارئة.