الانتقال إلى المحتوى
سايبرتاك.
· ٣ دقائق قراءة

عيبان في PHP ظلا مخفيين عقودا كشفهما الذكاء الاصطناعي، وتبعتهما ملايين محاولات الاستغلال

تقول Wiz إن almost كل إصدارات PHP منذ 5.4 متأثرة، وصدرت الإصلاحات في 21 أكتوبر 2026 فيما أخرجت حكومات بعض مواقعها من الخدمة.

بقلم Cyberttakنُشر · 16:32

باختصار

الذكاء الاصطناعي كشف عيوب PHP المخفية منذ عقود

عيبان خطيران يصيبان كل إصدار تقريبا من PHP منذ 5.4. صدرت الإصلاحات في 21 أكتوبر. رصدت Cloudflare ملايين محاولات الاستغلال، فعلى أصحاب المواقع التحديث الآن.

فنيّ شبكات يُرى من الخلف عند مدخل باب، يوصل كابلاً رمادياً بمحوّل شبكة صغير على جدار عارٍ، بجوار صندوق بلاستيكي أزرق
فنيّ شبكات يُرى من الخلف عند مدخل باب، يوصل كابلاً رمادياً بمحوّل شبكة صغير على جدار عارٍ، بجوار صندوق بلاستيكي أزرقالمصدر: AI-generated · FLUX.2 klein 9B

ساعدت نماذج ذكاء اصطناعي متقدمة باحثين أمنيين على تحويل عيبين قديمين مخفيين في PHP إلى هجمات فعلية. هذا ما ترويه شركة Wiz، المملوكة لـ Alphabet، في تقريرها. العيبان يحملان الرمزين CVE-2026-109618 وCVE-2026-109619، ويُعرفان باسم php2shell.

PHP لغة برمجة تقف خلف نسبة كبيرة من المواقع. تقول Wiz إنها تشغّل 70% منها، ومنها WordPress وDrupal وMediaWiki، البرنامج الذي يقوم عليه موقع ويكيبيديا.

تقول Wiz إن نماذج الذكاء الاصطناعي المتقدمة خفّضت كثيرا عقبة تحويل عيب قديم إلى هجوم فعلي.

ماذا يتيح العيبان

كلاهما يتيح الوصول إلى ذاكرة الخادم دون إذن. بعدها يستطيع المهاجم تشغيل أوامر على الخادم عبر الإنترنت، دون كلمة مرور ودون حساب. وتقول Wiz أيضا إن الثغرات قد تسرّب من الذاكرة كلمات مرور ورموز دخول ومفاتيح API وشهادات.

تصنّف Wiz الخطورة حتى CVSS 9.2. وتقول إن كل إصدار تقريبا من PHP، وصولا إلى 5.4، يتأثر بأحد العيبين على الأقل.

أين دخل الذكاء الاصطناعي

تقول Wiz إن العيبين بقيا في الشيفرة عقودا. الصعب كان إثبات إمكانية استغلالهما، وذلك يحتاج سلسلة خطوات وصفتها بأنها عند حدود ما يستطيعه الباحثون البشر. وتقول إن نماذج الذكاء الاصطناعي المتقدمة خفّضت هذه العقبة.

تنسب Fortune دورا رئيسيا إلى نموذج GPT-5.6 Sol من OpenAI.

الجدول الزمني وأين تختلف المصادر

تذكر الجزيرة أن Calif، بالتعاون مع OpenAI، أبلغت عن العيب الأول في 11 أغسطس، وأبلغت Wiz عن الثاني في 24 أغسطس. أما جدول Wiz نفسها فيذكر 24 أغسطس موعدا لبلاغها، و21 سبتمبر موعدا لبدء PHP العمل على الإصلاح.

صدرت نسخ PHP المصححة في 21 أكتوبر 2026 بحسب Wiz. وتقول Fortune إن العيبين أصبحا علنيين في 20 أكتوبر، بعد تقارير ظهرت في وقت متأخر من ذلك اليوم قبل الإصدار الرسمي.

موجة الهجمات

بحسب Fortune، أحصت Cloudflare عشرات الآلاف من محاولات الاستغلال في أول 45 دقيقة بعد انتشار الخبر. وخلال ساعتين صار الرقم بمئات الآلاف، ومع مساء 21 أكتوبر بلغ الملايين.

قالت Amazon Web Services إنها رصدت محاولات قبل الإعلان في 20 أكتوبر بأيام، ما يوحي بأن الخبر ربما تسرّب مبكرا. وهذا ما تنقله Fortune.

وكان رد الحكومات سريعا. تقول الجزيرة إن ألمانيا وفرنسا وبلجيكا وهولندا وفنلندا وجمهورية التشيك أخرجت بعض مواقعها من الخدمة. ونصحت وكالة الأمن القومي الأمريكية بإيقاف المواقع إن تعذّر تحديثها فورا. وحثّت PHP Foundation كل مدير موقع على التحديث الفوري.

إن كنت تدير موقعا أو تستخدمه، فالنقطة العملية بسيطة: التحديث أهم من العنوان. هل استضافة موقعك على النسخة الجديدة؟

الحدود

تُظهر المصادر هجمات على هذين العيبين، لكنها لا تؤكد أن الذكاء الاصطناعي قاد المهاجمين. وتصف CNN الذكاء الاصطناعي أداةً ساعدت الباحثين على بناء الاستغلال. ومدونة Wiz هي المصدر الأول الوحيد هنا، ولم تتوفر صفحة من PHP Foundation أو OpenAI.

المصادر