في 21 أكتوبر 2026، أصدر مشروع PHP تحديثات أمنية طارئة تُصلح ثغرتين حرجتين — CVE-2026-109618 وCVE-2026-109619، المعروفتين معًا باسم PHP2Shell — تسمحان لمهاجم بتشغيل أكواد عن بُعد على خادم متأثر دون تسجيل الدخول. صُنّفت كلتاهما بخطورة 9.2 من 10، والإصدارات الممتدة حتى PHP 5.4 الصادر في 2012 متأثرة. جاءت الإصلاحات في PHP 8.5.12 و8.4.27 و8.3.36 و8.2.35؛ أما PHP 8.1 وما قبله فلا تحصل على إصلاح رسمي.

قُدّم موعد الإصدار يومًا كاملًا بعد تسرب التفاصيل الأساسية للثغرات على وسائل التواصل الاجتماعي في 20 أكتوبر. وأغلقت حكومات مواقعها الإلكترونية كإجراء احترازي أثناء تطبيق الإصلاحات — ومنها مواقع المحافظات الفرنسية، ووزارة الرقمنة الألمانية، والبرلمان الهولندي، والحكومة المركزية الفنلندية، وفي المملكة المتحدة مكتب مسؤولية الموازنة وNHS اسكتلندا. وأصدرت وكالة الأمن القومي الأمريكية تحذيرًا علنيًا نادرًا نصحت فيه بإغلاق المواقع إذا تعذّر تحديثها فورًا. وشبه مهندس أمني في PHP ثغرات PHP2Shell بثغرة Heartbleed، التي أرسلت المسؤولين حول العالم في سباق محموم عام 2014.

الزاوية المتعلقة بالذكاء الاصطناعي هي ما يجعل هذا حدثًا مفصليًا: إذ ظلت الثغرات غير مكتشفة لأكثر من عقد، واكتُشفت بمساعدة نماذج الذكاء الاصطناعي المتقدمة. كان باحثو مؤسسة PHP قد حددوا ثغرة نظرية في 2024 لكنهم لم يتمكنوا من معرفة كيفية استغلالها؛ وبعد انضمام المؤسسة إلى مبادرة «Patch the Planet» التابعة لأوبن إيه آي في يوليو 2026، أبلغ باحثون في شركة الأمن Calif عن الثغرة الأولى في 11 أغسطس باستخدام نموذج GPT-5.6 Sol من أوبن إيه آي، وأبلغت شركة Wiz — المملوكة لألفابت — عن الثغرة الثانية في 24 أغسطس باستخدام نماذج منها Gemini 4 Argon من غوغل. ويقدّر الباحثون أن نحو 1.3 مليون مضيف متصل بالإنترنت قد يكون مكشوفًا، ويشغّل PHP نحو 70% من المواقع التي تُعرف لغة خادمها. اكتشف الذكاء الاصطناعي الثغرات بسرعة — وكما تحذر شركات الأمن، يمكنه تسليحها بالسرعة نفسها، ولهذا يبقى الترقيع الآن الخيار الآمن الوحيد.

المصادر