كشفت شركة الأمن Wiz Research عن مجموعة من الثغرات الأمنية الحرجة في محرك PHP الأساسي في 21 أكتوبر 2026، محذرة من أن العيوب – التي يطلق عليها مجتمعة PHP2Shell – تتيح تنفيذ تعليمات برمجية عن بعد غير مصادق عليها والكشف عن الذاكرة على غرار Heartbleed على البرنامج الذي يشغل ما يقدر بنحو 70 بالمائة من جميع مواقع الويب. أصدر مشروع PHP تصحيحات في نفس اليوم، ويحث Wiz على إجراء تحديثات فورية عبر القاعدة المثبتة الهائلة على الويب.

PHP هي العمود الفقري لجزء كبير من الإنترنت: فهي تقوم بتشغيل WordPress وJoomla وDrupal وMediaWiki، البرنامج الذي يدير Wikipedia. والأهم من ذلك، أن الأخطاء التي تم الكشف عنها حديثًا تعيش في المحرك الأساسي لـ PHP، وليس في أي تطبيق مبني فوقه، مما يعني أنه يمكن كشف المواقع حتى عندما يكون رمز التطبيق الخاص بها آمنًا. لمزيد من السياق حول هذه القصة، راجع تغطية صناعة الذكاء الاصطناعي.

ما هي نقاط الضعف

وفقًا لمقالة Wiz الفنية التي كتبها الباحثون Sagi Tzadik وShir Tamari وNir Ohfeld وTomer Schwartz، فإن جميع الأخطاء التي تم الكشف عنها هي مشكلات تتعلق بسلامة الذاكرة متجذرة في كيفية تعامل PHP مع الأخطاء القاتلة أثناء معالجة الطلب - وخاصة أخطاء نفاد الذاكرة. يمكن للطلب المتعطل أن يترك حالة PHP داخلية تالفة، ويمكن أن يؤدي الطلب اللاحق أو العامل الذي يعيد استخدام هذه الحالة القديمة إلى الكشف عن الذاكرة أو تلف الذاكرة.

تم تجميع النتائج تحت اثنين من التهديدات الخطيرة ذات الحد الأقصى لخطورة CVSS 9.2:

  • CVE-2026-109618 — أداة إلغاء تسلسل تقدم التحميل التي يمكن استخدامها بعد ذلك مجانًا والتي يمكن للمهاجم الاستفادة منها للكشف عن ذاكرة العملية عن بُعد، وفي سلاسل موضحة، التنفيذ الكامل للتعليمات البرمجية عن بُعد. أظهر Wiz الكشف غير المصادق عن ذاكرة عامل PHP والمصادقة المسبقة RCE على WordPress وDrupal وJoomla.
  • CVE-2026-109619 — خطأ فادح في التتبع الخلفي للاستخدام بعد الاستخدام مع ارتباك من نوع OPcache، والذي أثبت أيضًا أنه يؤدي إلى تنفيذ تعليمات برمجية عن بعد للمصادقة المسبقة على Drupal وWordPress.

وقال ويز إن الذاكرة التي يمكن للمهاجمين قراءتها قد تحتوي على كلمات مرور ورموز مصادقة ومفاتيح API وشهادات تخص طلبات أخرى أو تخص الخادم نفسه. تتأثر كل نسخة PHP تم إصدارها في العقد الماضي - والتي تعود إلى PHP 5.4 - بواحدة على الأقل من نقاط الضعف، وتقول الشركة إن هذه الثغرات تُصنف من بين أخطر العيوب التي تم اكتشافها على الإطلاق في PHP.

حيث يأتي الذكاء الاصطناعي

إن الادعاء الأكثر أهمية في تقرير Wiz لا يتعلق بـ PHP على الإطلاق، بل يتعلق بما فعلته نماذج الذكاء الاصطناعي الرائدة لاستغلال التطوير.

وكتب ويز أن العيوب الأساسية كانت موجودة منذ عقود، لكن إثبات قابلية الاستغلال يتطلب "سلسلة معقدة للغاية من الخطوات، على حافة ما يمكن للباحثين البشريين تحقيقه عمليًا". كان على هذا الاستغلال أن يربط عيوبًا متعددة وأن يتكيف مع تخطيط ذاكرة كل هدف من خلال الاختبار المتكرر وتصحيح الأخطاء.

وتقول الشركة إن نماذج Frontier AI قللت هذا الحاجز بشكل كبير - "تحويل خلل طويل الأمد إلى استغلال" - ومكنت فريق Wiz من تطوير وتكييف برمجيات إكسبلويت للعمل عبر تطبيقات متعددة في ساعات بدلاً من أسابيع.

وكتب الباحثون: "مع انخفاض الوقت والخبرة المطلوبة لهذا العمل، قد لا يوفر التعقيد حاجزًا ذا معنى، مما يغير كيفية تعريفنا لما هو عرضة للخطر في الممارسة العملية".

نقطة تحول في عصر الذكاء الاصطناعي؟

يقوم Wiz بشكل صريح بتأطير PHP2Shell جنبًا إلى جنب مع لحظتين فاصلتين سابقتين في أمان الويب: Heartbleed في عام 2014، والتي كشفت عن هشاشة البنية التحتية المشتركة لتأمين الإنترنت، وLog4Shell في عام 2021، والتي كشفت عن مدى تأثير تبعيات البرامج المدمجة بعمق على انتشار واسع النطاق. وتقول الشركة إن PHP2Shell يمكن أن يمثل نقطة تحول مماثلة، حيث يوضح هذه المرة كيف يغير الذكاء الاصطناعي إمكانية الاستغلال العملي لنقاط الضعف المعروفة منذ فترة طويلة.

هذا التأطير مهم خارج PHP. إن الثغرات النظرية التي كانت بعيدة المنال بشكل آمن لأن استغلالها كان صعبا للغاية أو بطيئا للغاية أو متخصصا للغاية، قد تكون الآن في متناول مهاجمين ذوي موارد جيدة ومسلحين بأدوات الذكاء الاصطناعي - وهو تحول له آثار واضحة على ميزانيات الدفاع، وإيقاعات التصحيح، والجداول الزمنية للإفصاح عبر صناعة البرمجيات.

إصلاح منسق عبر الصناعة

تم تنسيق الكشف . شكر Wiz فريق PHP وOpenAI على عملهما في الاكتشاف والتنسيق والتحقق من التصحيح، مشيرًا إلى أن كلاً من OpenAI وPHP نشرا كتاباتهما الفنية الخاصة بتاريخ الثغرة الأمنية وعملية الكشف عنها.

قامت مجموعة متعددة الصناعات - بما في ذلك Automattic، وAkamai، وAWS، وCloudflare، وFastly، وGoogle، وImperva، وMicrosoft، وVercel - بإعداد إرشادات وإجراءات تخفيف غير تقليدية للعملاء الذين لا يستطيعون التصحيح على الفور. أعلنت Cloudflare بشكل منفصل في 21 أكتوبر أنها قامت بنشر وسائل حماية WAF ضد ثغرات PHP لعملائها.

ما يجب على مالكي الموقع فعله

نصيحة Wiz صريحة: قم بالتصحيح على الفور. أصدر مشروع PHP إصلاحات لثغرات أمان الذاكرة في 21 أكتوبر 2026، ويجب تحديث كل عملية نشر PHP مدعومة في أقرب وقت ممكن.

يجب على المؤسسات التي لا يمكنها التصحيح على الفور أن تطبق إجراءات التخفيف التي نشرتها CDN أو الاستضافة أو موفري WAF، حيث قام العديد منهم بشحن القواعد التي تستهدف سلاسل استغلال الثغرات في اليوم الأول. يجب على مسؤولي أساطيل WordPress وDrupal وJoomla التعامل مع هذا باعتباره دورة تصحيح ذات أولوية: أظهر Wiz تنفيذ تعليمات برمجية عن بعد للمصادقة المسبقة على جميع الأنظمة الأساسية الثلاثة، كما أن مسارات التعليمات البرمجية الضعيفة موجودة بغض النظر عن مدى جودة صيانة التطبيقات الموجودة فوقها.

قد يكون الدرس الأعمق هو الدرس الذي استخلصه Wiz نفسه: عندما يتمكن الذكاء الاصطناعي من ضغط أشهر من هندسة الاستغلال إلى ساعات، فإن التعريف العملي للصناعة لـ "القابل للاستغلال عمليًا" - ومعه، تغير معنى الجداول الزمنية المسؤولة للتصحيح.

---

ابق على اطلاع بأخبار الذكاء الاصطناعي

آخر أخبار وتحليلات وإنجازات الذكاء الاصطناعي — في مكان واحد.

اقرأ المزيد من أخبار الذكاء الاصطناعي →