ثغرتان حرجتان في PHP تُكشفان وتُصدران تصحيحًا في 21 أكتوبر

أعلن فريق تطوير PHP عن تصحيح لثغرتين حرجتين تعرفان باسم PHP2Shell، وأصدره في 21 أكتوبر 2026، أي قبل يوم من الموعد المخطط، بعد تسريب تفاصيل الثغرتين وعرض توضيحي لهجوم قبيل موعده، وفق aitimes.com.

تسمح الثغرتان بتنفيذ أوامر عن بُعد على الخوادم دون بيانات اعتماد في ظروف معينة، وتم تقييم كل منهما بدرجة 9.2 من 10 من حيث الخطورة.

اكتُشفت الثغرتان بمساعدة الذكاء الاصطناعي؛ إذ استخدمت شركة الأمن السيبراني Calif نموذج GPT-5.6 Sol وأبلغت في أغسطس، بينما أكدت شركة Wiz، المملوكة لشركة Alphabet، المشكلة بشكل مستقل باستخدام أدواتها الخاصة بالذكاء الاصطناعي ونموذجي Gemini 4 Argon وGPT-5.6 Sol.

دفعت الثغرتان جهات حكومية ومؤسسات في أوروبا إلى تعطيل مواقعها أو أنظمتها. فأخرجت بوابات الحكومة الهولندية، وميناء روتردام، والاتحاد الوطني لكرة القدم، وأحزاب سياسية كبرى، وعدة مستشفيات، مواقعها العامة من الخدمة. وتأثر أكثر من 100 بلدية هولندية وحكومات المقاطعات وسلطات إدارة المياه التي تعتمد خدمات Notubiz.

كما تعطلت منصات التواصل المدرسي في الدنمارك، وحجبت فنلندا وألمانيا وفرنسا مواقع حكومية مؤقتًا. وأغلقت جامعة فرايبورغ الألمانية وجامعة فيينا النمساوية ومؤسسة ويكيميديا وأرشيف الإنترنت بعض مواقعها أو أنظمتها. وقالت ألمانيا وفنلندا إن الإغلاقات احترازية ولم تنتج عن محاولات استغلال أو تسريب بيانات.

وذكرت Cloudflare أنها رصدت بعض محاولات الهجوم المبكرة وفعلت حمايات لعملائها، بينما قالت CISA إنه لم يؤكد أي حالة استغلال حتى إعلانها. وبحسب Sensis، فإن نحو 1.5 مليون من أصل 2.6 مليون مضيف مرصود تعمل بنسخ PHP لا يمكنها تلقي التصحيح بسهولة.