PHP تصدر إصلاحات لثغرتين حرجتين لتنفيذ التعليمات البرمجية عن بُعد اكتشفتهما نماذج ذكاء اصطناعي متقدمة

أصدر مشروع PHP في 21 أكتوبر 2026 الإصدارات PHP 8.5.12 و8.4.27 و8.3.36 و8.2.35، وهي إصدارات أمنية تعالج ثغرتين حرجتين قد تتيحان تنفيذ التعليمات البرمجية عن بُعد من دون مصادقة، وقد اكتُشفتا باستخدام نماذج ذكاء اصطناعي متقدمة. وشمل الإفصاح المنسق مشروع PHP وOpenAI وشركة أبحاث الأمن Calif وشركة أمن الحوسبة السحابية Wiz.

الإصدارات التي عالجت الثغرات

يوضح التنبيه الأمني الصادر عن مشروع PHP أن الإصدارات الأربعة تعالج CVE-2026-109618، الموصوفة بأنها ثغرة لتنفيذ التعليمات البرمجية عن بُعد عبر فساد ناتج عن نفاد الذاكرة، وCVE-2026-109619، الموصوفة بأنها ثغرة لتنفيذ التعليمات البرمجية عن بُعد عبر حالة عامة قديمة. وقد صنّف إشعار مسبق صادر عن فريق أمن PHP في 20 أكتوبر 2026 الثغرتين بدرجة 9.2 وفق CVSS v4.0، وحدد موعد إصدار التحديثات في الساعة 14:00 بالتوقيت العالمي المنسق يوم 21 أكتوبر.

يشير التنبيه إلى أن جميع عمليات تثبيت PHP التي تستقبل طلبات الويب معرضة للخطر، بما فيها PHP-FPM وApache مع mod_php وphp-cgi وFrankenPHP وLiteSpeed. ويُعد الخطر أشد ما يكون في mod_php، حيث يمكن استغلال الثغرة المثبتة بإرسال طلب من دون مصادقة، قبل تشغيل أي تعليمات برمجية للتطبيق.

يفيد المشروع بعدم وجود تدابير تخفيف كاملة، وأن التحديث هو الخيار الآمن الوحيد، رغم أنه يسرد إعدادات مؤقتة تحد من التعرض لمسارات هجوم بعينها. وتلقت توزيعات Linux ومورّدو إصدارات الدعم طويل الأمد التصحيحات مسبقًا. كما أتاح فريق أمن PHP تصحيحات خلفية محدودة للمصدر للإصدارات PHP 7.4 و8.0 و8.1، التي لم تعد تتلقى تحديثات، وأشار إلى أن دعم PHP 8.2 ينتهي في 31 ديسمبر 2026.

الثغرات وأداة الاستغلال php2shell

يوضح الإفصاح التقني الذي نشرته Wiz Research أن CVE-2026-109618 تشمل استخدامًا بعد التحرير لمزيل تسلسل بيانات خاص بتقدم التحميل، وكشفًا عن بُعد لذاكرة العمليات، في حين تشمل CVE-2026-109619 استخدامًا بعد التحرير في تتبّع مكدس الاستدعاءات عند حدوث خطأ فادح، والتباسًا في أنواع بيانات OPcache. وجميعها ثغرات في سلامة الذاكرة تنبع من طريقة تعامل PHP مع الأخطاء الفادحة، ولا سيما أخطاء نفاد الذاكرة، أثناء معالجة الطلبات.

قالت Wiz إن كل إصدار من PHP صدر خلال العقد الماضي يتأثر بواحدة على الأقل من الثغرتين، بدءًا من الإصدار 5.4. وأفادت Calif بأن أقدم مسار متأثر عثرت عليه يعود إلى PHP 5.4.0، وأن مسارات الاستغلال، التي تختلف باختلاف إصدار PHP وواجهة SAPI، قابلة للاستغلال دائمًا في ظل الإعدادات الافتراضية.

جمعت Wiz الثغرتين في نص برمجي واحد للاستغلال أطلقت عليه اسم php2shell، وأثبتت إمكانية تنفيذ التعليمات البرمجية عن بُعد من دون مصادقة على أحدث صور الحاويات لكل من WordPress وDrupal وJoomla. وأثبتت، في سياق منفصل، إمكانية كشف ذاكرة عمليات PHP بصرف النظر عن التطبيق، وهي ذاكرة قد تحتوي على كلمات مرور ورموز مصادقة ومفاتيح API وشهادات. ويتضمن تقرير Calif حالات مؤكدة لتنفيذ التعليمات البرمجية عن بُعد قبل المصادقة في WordPress 7.1.2 وDrupal 11.4.3 وJoomla 6.1.4 وMediaWiki 1.46.2 وRoundcube 1.7.4 وMagento 2.4.9 وphpMyAdmin 5.2.3 وNextcloud 35.0.1 وLaravel 13.11 وSymfony 8.1 وWHMCS، وكذلك في نصوص PHP برمجية عشوائية في بعض الحالات.

تذكر Wiz أن PHP يشغّل 70% من جميع المواقع الإلكترونية، ومنها WordPress وJoomla وDrupal وMediaWiki التابعة لـWikipedia، وتصنف هذه النتائج ضمن أشد الثغرات التي اكتُشفت في PHP خطورة.

كيف اكتشفت نماذج الذكاء الاصطناعي المتقدمة الثغرات

قالت OpenAI إنها قادت خلال الشهرين الماضيين تحالفًا ضمّ جهات صيانة وباحثين ومزودي خدمات أمنية لمعالجة الثغرات؛ إذ حددت Calif ثغرة حرجة باستخدام نموذجها GPT-5.6 Sol ضمن مبادرة OpenAI المسماة Patch the Planet، فيما اكتشفت Wiz الثغرتين وأبلغت عنهما بشكل مستقل. وتولت الجهات المسؤولة عن صيانة PHP قيادة أعمال الإصلاح والإصدار.

تُظهر الجداول الزمنية للمشاركين تداخلًا بين اكتشافات مستقلة. وتفيد مؤسسة PHP بأن Calif بدأت تدقيقها في 30 يوليو 2026، وأن الباحث لدى Calif، Ryan A، أبلغ عن ثغرة تتيح تنفيذ التعليمات البرمجية عن بُعد بلا شروط في 11 أغسطس 2026، فيما أبلغت OpenAI بشكل مستقل عن السبب الجذري نفسه في اليوم ذاته. ويحدد تقرير Calif تاريخ اكتشافها في 1 أغسطس 2026، وتاريخ مشاركة نموذج إثبات مفهوم لتنفيذ التعليمات البرمجية عن بُعد مع PHP في 14 أغسطس 2026، وتاريخ تأكيد PHP للثغرة في 15 أغسطس 2026، وتاريخ الإبلاغ عن ثغرة ثانية في 21 أغسطس 2026.

تفيد Wiz بأنها اكتشفت الثغرة الأولى في 19 أغسطس 2026 باستخدام Wiz Atlas وGemini 4 Argon وGPT-5.6 Sol، وأكدت إمكانية تنفيذ التعليمات البرمجية من دون مصادقة على Drupal في 20 أغسطس 2026 وعلى WordPress في 21 أغسطس، ثم أبلغت فريق أمن PHP بالثغرتين في 24 أغسطس 2026. ووفقًا للمؤسسة، أضافت OpenAI نواقل هجوم أخرى في 18 سبتمبر 2026، وأقرّت PHP بالتقارير وبدأت تطوير إصلاح منسق في 21 سبتمبر 2026، بحسب Wiz.

للضعف الكامن وراء الثغرات تاريخ طويل. وتروي Calif أن Stefan Esser اكتشف أول ثغرة عن بُعد في PHP مرتبطة بحدود الذاكرة في عام 2004، وأن المشروع تلقى في عام 2020 بلاغًا عن خطأ يصف حالة نفاد للذاكرة، وأن تدقيقًا أجرته OSTIF وQuarkslab في عام 2024 أعاد اكتشاف المشكلة من دون إثبات إمكانية استغلالها. وذكرت مؤسسة PHP أن وكالة Sovereign Tech Agency موّلت تدقيق عام 2024، وأن العمل على إصلاح المشكلة تعثر واستؤنف مرارًا على مدى أشهر: «لن ندّعي خلاف ذلك: كان التأخير إخفاقًا بنيويًا».

قالت OpenAI إنها، نظراً إلى خطورة الثغرات واتساع نطاق استخدام PHP، تعدّها من أكثر المشكلات الأمنية تأثيراً في الذاكرة الحديثة. وأضافت أنه، بحسب علمها، اكتشف الذكاء الاصطناعي المتقدم الثغرات قبل المهاجمين، ما أتاح ما تسميه «نافذة المدافعين». وتعهدت الشركة بتوفير إمكانية وصول مدعومة إلى Daybreak بقيمة مليار دولار للمدافعين في الصفوف الأمامية، ونشرت أداة للتحقق من إصدار PHP في صورة مهارة لـCodex ضمن مستودع GitHub‏ openai/php2shell-checker.

تسريب الإفصاح وخرق الحظر

أفادت PHP Foundation بأن الإفصاح المنسق ظل محجوباً حتى ما قبل موعد الإصدار المستهدف بيومين. وفي نحو الساعة 15:00 بالتوقيت العالمي المنسق يوم 20 أكتوبر 2026، بدأ تداول معرّفي CVE على المنتديات الإلكترونية ووسائل التواصل الاجتماعي، مصحوبين بموعد إصدار خاطئ ودرجة CVSS خاطئة بلغت 10.0، لكن لم تُسرّب أي تفاصيل تقنية. وقدّم مشروع PHP موعد إعلانه التمهيدي إلى الساعة 19:30 من ذلك اليوم، وعدّل موعد الإصدار من 22 أكتوبر 2026 إلى 21 أكتوبر 2026، الساعة 14:00 بالتوقيت العالمي المنسق، قائلاً إن الجهات الموزعة ما زالت تجهّز الإصلاح ضمن حزمها.

في نحو الساعة 20:00 بالتوقيت العالمي المنسق يوم 20 أكتوبر، نشر Calif عن طريق الخطأ مقطع فيديو يُظهر عمل إثبات المفهوم ضد عدد من الأهداف، وتداولت نسخ منه وأسهمت في تسريع تطوير مجموعة من عمليات استغلال إثبات المفهوم في 21 أكتوبر، بحسب المؤسسة. وأفادت المؤسسة بأن Chainguard خرقت الحظر من جانب واحد في الساعة 07:41 بالتوقيت العالمي المنسق يوم 21 أكتوبر، أي قبل الإصدار المنسق بأكثر من ست ساعات، ونشرت صوراً مبنية تتضمن الإصلاح. وراقب فريق أمن PHP عمليات إثبات المفهوم التي ظهرت بعد التسريب، لكنه لم يرصد أي عمليات استغلال فعالة عند الإصدار والإفصاح العلني.

التنسيق الحكومي وإطار عمل مقترح

قالت OpenAI إنها عملت مع شركاء للتواصل مع جهات متعددة في الحكومة الأمريكية، منها قوة الذكاء الفائق التابعة للبيت الأبيض، ومكتب المدير الوطني للأمن السيبراني، ووكالة الأمن السيبراني وأمن البنية التحتية، إلى جانب شركاء دوليين، للمساعدة في إيصال الإرشادات الأمنية إلى المؤسسات الحيوية. وقالت Wiz إنها تعاونت، قبل الإفصاح العلني، مع Google Cloud وCloudflare وAWS وMicrosoft وAutomattic وFastly وAkamai وImperva وVercel وغيرها، لإعداد إرشادات للعملاء وآليات للكشف ووسائل حماية جاهزة للاستخدام للمؤسسات التي لا تستطيع التحديث فوراً.

كما نشرت OpenAI إطار عمل مقترحاً من خمس مراحل للتعامل مع الثغرات الحرجة في البرمجيات واسعة الاستخدام: التحقق من الثغرة في المصدر ومعالجتها، ومنح المؤسسات المتأثرة وقتاً للتحرك، والتنسيق مع الشركاء الحكوميين، وإعداد التحديثات للمنتجات المتأثرة، ونشر الإرشادات فور توفر تصحيح. ودعت الشركة مجتمع الأمن إلى إبداء ملاحظاته على هذا النهج.

قالت PHP Foundation، التي أنشأت فريق أمن المنظومة في مايو 2026، وعيّنت Alexandre Daubois في يوليو 2026 وDaniel Scherzer في سبتمبر 2026، إن الفريق نشر 15 من معرّفات CVE منذ 1 يوليو 2026، بينما كان يتعامل مع أكثر من 100 بلاغ تبيّن أنها غير صحيحة أو مكررة أو يتعذر إعادة إنتاجها. ودعت المؤسسة الشركات ومزودي الاستضافة والمنصات السحابية والتوزيعات والحكومات، التي تعمل خدماتها على PHP، إلى تقديم الرعاية المالية.