أصدر مشروع PHP، يوم الأربعاء 21 أكتوبر 2026 الساعة 14:00 بالتوقيت العالمي المنسق، الإصدارات 8.5.12 و 8.4.27 و 8.3.36 و 8.2.35 من لغة البرمجة الخاصة به. تقوم هذه الإصدارات بتصحيح ثغرة أمنية، CVE-2026-109618 و CVE-2026-109619، مصنفة بدرجة 9.2 على مقياس CVSS v4.0، والتي يمكن أن تسمح بتنفيذ تعليمات برمجية عن بُعد دون مصادقة. يشير معرف CVE إلى ثغرة أمنية مسجلة، بينما يقيس تقييم CVSS شدتها.
وفقًا للناشر، فإن جميع التثبيتات التي تخدم طلبات الويب تتأثر، سواء باستخدام PHP-FPM أو Apache مع mod_php أو php-cgi أو FrankenPHP أو LiteSpeed، مع اعتبار الخطر الأعلى عند استخدام mod_php. في نفس اليوم، قام CERT-FR بتحديث تنبيهه CERTFR-2026-ALE-014، وأغلقت وزارة الداخلية مواقعها المعرضة للخطر، بما في ذلك مواقع المحافظات. يشير الجدول الزمني الذي نشرته مؤسسة PHP إلى أن العيب الذي أدى إلى الثغرة الأولى كان معروفًا منذ عام 2024، دون وجود وسيلة استغلال معروفة.
عيب تم اكتشافه أثناء تدقيق عام 2024
في عام 2024، خضع PHP لأول تدقيق أمني خارجي منذ سنوات. بتمويل من الوكالة الألمانية للتكنولوجيا السيادية (Sovereign Tech Agency)، وتنظيم من OSTIF، وتنفيذ من قبل الشركة الفرنسية Quarkslab، أدى هذا التدقيق إلى أن يكتشف أحد مطوري نواة PHP، أثناء تصحيح إحدى المشكلات المبلغ عنها، العلامات الأولى لعيب مرتبط بأخطاء استنفاد الذاكرة (out-of-memory). تم التنظير حينها لإمكانية استغلاله، دون وجود وسيلة ملموسة.
واجه التصحيح بعد ذلك عقبات في الموازنات. كل نهج مقترح كان يكسر التوافق، أو يفتح خطر هجوم حجب الخدمة، أو يفرض تعديلات على العديد من الإضافات الخارجية، وهو أمر مستحيل التنسيق. رأى فريق الأمن، الذي يتخذ القرارات بالإجماع، أن المشروع « توقف وأعيد تشغيله عدة مرات على مدى أشهر ». كتبت المؤسسة أن « التأخير كان فشلاً هيكلياً »، ناجماً عن هذا النمط من اتخاذ القرار ونقص الموارد.
Calif و OpenAI و Wiz: صيف من العروض التوضيحية
في إطار برنامج Patch the Planet، بدأت شركة Calif تدقيقًا لـ PHP في 30 يوليو 2026. في 11 أغسطس، أبلغ باحثها Ryan A. عن إمكانية تنفيذ تعليمات برمجية عن بُعد غير مشروطة، لها نفس السبب الجذري للعيب المكتشف عام 2024. أبلغت OpenAI، التي تنسب المؤسسة الفضل لفريق Codex Security التابع لها، عن نفس السبب في نفس اليوم. تبعتها Wiz Research في 24 أغسطس بوسائل هجوم أخرى. بدءًا من 11 أغسطس، كما كتبت المؤسسة، أصبح التصحيح الأولوية القصوى لفريق الأمن بأكمله.
تشير Wiz إلى أنها استخدمت أداة Wiz Atlas الخاصة بها، و Gemini 4 Argon من Google، و GPT-5.6 Sol من OpenAI. يضع جدولها الزمني اكتشاف الثغرة الأولى في 19 أغسطس، وتأكيد تنفيذ التعليمات البرمجية في 20 أغسطس على Drupal وفي 21 على WordPress، والإبلاغ عنها لـ PHP في 24. وفقًا للشركة، فإن باحثًا واحدًا، باستخدام هذه النماذج، أنجز في أسبوع ما كان سيستغرق أشهرًا من فريق متمرس. تسجل المؤسسة أيضًا 15 ثغرة أمنية CVE تم نشرها منذ 1 يوليو وأكثر من 100 إبلاغ تم استبعادها لكونها غير صالحة أو مكررة أو غير قابلة للتكرار.
كان الإصدار المقرر في 22 أكتوبر. في 20 أكتوبر حوالي الساعة 15:00 بالتوقيت العالمي المنسق، بدأ معرفا CVE في الانتشار على المنتديات ووسائل التواصل الاجتماعي، مع وقت إصدار خاطئ وتقييم CVSS خاطئ قدره 10. وفقًا للمؤسسة، لم يتم تسريب أي تفاصيل تقنية. قام PHP بتقديم الإعلان المسبق والإصدار إلى 21 أكتوبر. نشرت Chainguard، في 21 أكتوبر الساعة 7:41 بالتوقيت العالمي المنسق، صورًا تحتوي على التصحيح قبل أكثر من ست ساعات من الإصدار الرسمي، وهو ما وصفته المؤسسة بأنه خرق أحادي للحظر.
عزل ثم ترحيل، توجيهات CERT-FR
يسرد CERT-FR كإصدارات متأثرة جميع الإصدارات 5.x و 6.x و 7.x و 8.0.x و 8.1.x، بالإضافة إلى الفروع 8.2 إلى 8.5 الأقدم من الإصدارات المصححة. بالنسبة للفروع التي لم يعد الناشر يدعمها، يوصي بعزل الأجهزة ثم الترحيل إلى إصدار مدعوم. لم يصنف CERT-FR الحلول المؤقتة، سواء في إعدادات PHP أو على جدار حماية تطبيقي. وفقًا لـ Anssi، يستخدم أكثر من 600000 خادم PHP على الإنترنت الفرنسي. وضعت وزارة الداخلية مواقعها المعرضة للخطر في وضع الصيانة الوقائية، وفقًا لبيان نقلته وكالة فرانس برس. في 22 أكتوبر الساعة 8:33 بتوقيت باريس، عرض موقع CNIL وموقع impots.gouv.fr صفحة صيانة، مثل موقع محافظة سين سان دوني. لم تذكر أي من هذه الصفحات PHP.
ذكرت Cloudflare أنها رصدت حركة هجوم تستهدف عملائها، وأن المهاجمين قاموا بتعديل طلباتهم لتجاوز قواعد التصفية الخاصة بها. وفقًا للمؤسسة، لم يتم التعرف على أي برنامج استغلال فعال وقت النشر. حتى التاريخ المذكور، لم تذكر أي من المصادر المذكورة حدوث اختراق ناجح.
تلقت الإصدارات المدعومة تصحيحها في يوم الإفصاح. الخطر الرئيسي يطال الخوادم التي لا تزال تعمل بـ PHP 8.1 أو إصدار أقدم، والتي لم يعد المشروع يقدم تحديثات لها. بالنسبة لـ PHP 7.4 و 8.0 و 8.1، قدم فريق الأمن الخاص بها ترقيعات رجعية محدودة، مخصصة لأولئك الذين يقومون بالتجميع من المصدر. تطالب مؤسسة PHP الشركات ومقدمي الخدمة السحابية والإدارات التي تعتمد على PHP بتمويلها، لأن أمن المحرك لا يزال، كما كتبت، يعتمد على « مجموعة صغيرة من المطورين الممولين من المؤسسة والقليل من المساعدة التطوعية ».
