ثغرتا PHP2Shell تهددان بنية الويب العالمية وتُصلحان بسرعة

في 24 أكتوبر 2026، ظهرت ثغرتان حرجتان في لغة البرمجة PHP (PHP2Shell) تم تصنيفهما تحت CVE‑2026‑109618 وCVE‑2026‑109619، ما دفع ملايين المشرفين حول العالم إلى سباق محموم لتحديث أنظمتهم. أصدرت مؤسسة PHP تصحيحات طارئة في نفس اليوم، مما حال دون ما كان يمكن أن يتحول إلى اختراق واسع النطاق للإنترنت. تم اكتشاف الثغرتين لأول مرة عام 2024، لكن لم يُنظر إليهما على أنهما قابلتان للاستغلال آنذاك. فريق الباحثين في Calif، أثناء تدقيق أمني روتيني، توصل إلى طريقة ربطهما لتفعيل تنفيذ التعليمات عن بُعد (Remote Code Execution - RCE) دون الحاجة إلى أي اعتماد، أي وصول غير مصدق (Unauthenticated Access). عملياً، يستطيع المهاجم إدخال أوامر عشوائية إلى أي خادم PHP غير مُصحَّح، والحصول على سيطرة كاملة، وزرع برمجيات خبيثة، وسرقة البيانات. أبلغ فريق Calif مؤسسة PHP، التي وضعت التفاصيل تحت حجز سري حتى إكمال التصحيحات. تلقت الشركات الكبرى في مجال السحابة والاستضافة التصحيحات مسبقاً، ما أتاح لها تحديث البنية التحتية الحرجة قبل الإعلان العام. أصدرت الحكومات حول العالم توجيهات عاجلة؛ فقام بنوك، ومتاجر تجزئة، ومستشفيات، وعدة جهات حكومية بإغلاق مواقعها مؤقتاً لتطبيق التحديثات. نظرًا لأن نحو 70 % من المواقع المتجهة إلى الإنترنت لا تزال تعتمد على PHP، فإن حجم الخطر كان هائلًا. يبرز هذا الحدث هشاشة المكوّنات المفتوحة المصدر المتقادمة التي تشكّل العمود الفقري للإنترنت الحديث، كما يسلّط الضوء على دور أدوات الذكاء الاصطناعي في تسريع كل من اكتشاف الثغرات واستغلالها. يحذر خبراء الأمن من أن جزءًا كبيرًا من الخوادم لا يزال غير مُصحَّح، ما يبقي سطح الهجوم مفتوحًا. تُعدّ هذه الحادثة دعوة للضغط نحو دورات تصحيح أسرع، وتخصيص تمويل لتدقيقات أمان مفتوحة المصدر، وتبني نهج استباقي ضد الثغرات المستقبلية التي قد يُسرّع اكتشافها الذكاء الاصطناعي، حفاظًا على استقرار النظام الرقمي.