تحذير أمريكي من ثغرتين في PHP قد تتيحان اختراق الخوادم وسرقة البيانات

حذّرت وكالة الأمن القومي الأميركية من ثغرتين أمنيتين خطيرتين في لغة البرمجة (PHP)، قد تسمحان بتنفيذ أوامر عن بُعد والسيطرة على خوادم المواقع الإلكترونية من دون مصادقة، داعيةً المؤسسات وأصحاب المواقع إلى تثبيت التحديثات الأمنية الصادرة لمعالجتهما.

وذكر تقرير تابعه كلمة الإخباري، أن “وكالة الأمن القومي الأميركية أصدرت تحذيراً أمنياً، أمس الأربعاء، بشأن ثغرتين في لغة البرمجة (PHP)، قد تسمحان بتنفيذ أوامر عن بُعد والسيطرة على خوادم المواقع الإلكترونية دون الحاجة إلى تسجيل الدخول أو امتلاك حساب على الخادم”.

وأضاف أن “الثغرتين تحملان الرمزين (CVE-2026-109618) و(CVE-2026-109619)، وتصل درجة خطورتهما إلى 9.2 من أصل 10، وتكمن خطورتهما في وجودهما داخل لغة البرمجة نفسها، وليس في تطبيق أو إضافة معينة”.

وأوضح أن “استغلال الثغرتين قد يتيح الوصول إلى بيانات حساسة، بينها كلمات المرور والرموز الأمنية ومفاتيح واجهات البرمجة (API)، فضلاً عن إمكانية التلاعب بمحتويات المواقع الإلكترونية والوصول إلى معلومات المستخدمين”.

وأشار إلى أن “الاختبارات الأمنية أظهرت إمكانية استغلال الثغرتين في بيئات تشغيل تستخدم أنظمة إدارة المحتوى (WordPress) و(Drupal) و(Joomla)، دون أن تكون الثغرات موجودة في تلك الأنظمة نفسها، وإنما في لغة البرمجة التي تعتمد عليها”.

وأضاف أن “اكتشاف الثغرتين جاء بمشاركة فرق بحثية متخصصة، بينها شركتا كاليف وويز، وبالتعاون مع فريق تطوير (PHP) وشركة أوبن إيه آي، إذ أسهمت أدوات الذكاء الاصطناعي في تحليل الأخطاء البرمجية والكشف عن مسارات استغلالها”.

وبيّن أن “بعض الأخطاء المسببة للثغرتين يعود إلى أكثر من عشر سنوات، إلا أن تعقيد استغلالها حال دون اكتشاف خطورتها في وقت سابق”.

وأكد أن “فريق تطوير (PHP) أصدر تحديثات أمنية عاجلة لمعالجة الثغرتين، تشمل الإصدارات (8.5.12) و(8.4.27) و(8.3.36) و(8.2.35)، داعياً المؤسسات وأصحاب المواقع إلى تحديث أنظمتهم فوراً”.

وحذّر من أن “الإجراءات الوقائية المؤقتة لا توفر حماية كاملة، وأن تثبيت التحديثات الأمنية يمثل الحل الأساسي لمعالجة الثغرتين ومنع استغلالهما”.

وتُعد PHP لغة برمجة تُستخدم على الخوادم لتشغيل مواقع الويب والتطبيقات الديناميكية، وتعتمد عليها أنظمة إدارة محتوى واسعة الاستخدام. وأكد فريق تطوير اللغة أن التحديثات الأمنية الصادرة في 21 تشرين الأول 2026 تعالج الثغرتين، فيما أوصت جهات متخصصة بالأمن السيبراني بتحديث الأنظمة المتأثرة بصورة عاجلة، ولا سيما الخوادم المتاحة عبر الإنترنت.

المحرر: حسين صباح