حذّرت وكالة الأمن القومي الأميركية من ثغرتين أمنيتين خطيرتين في لغة البرمجة PHP، قد تسمحان للمهاجمين بتنفيذ أوامر عن بُعد والسيطرة على خوادم المواقع دون الحاجة إلى تسجيل الدخول.
وبحسب المعطيات الواردة في التحذير المؤرخ في 21 أكتوبر 2026، تحمل الثغرتان الرمزين CVE-2026-109618 وCVE-2026-109619، وتصل درجة خطورتهما إلى 9.2 من 10.
واكتشفت فرق أمنية، من بينها شركة « كاليف » وفريق « ويز ريسيرش »، الثغرتين بشكل مستقل، بمساعدة أدوات الذكاء الاصطناعي التابعة لشركتي « أوبن إيه آي » و »غوغل »، التي ساهمت في تحليل الشيفرات واختبار طرق الاستغلال والإصلاحات الممكنة.
وتكمن خطورة الثغرتين في وجودهما داخل PHP نفسها، وليس في أنظمة إدارة المحتوى مثل « ووردبريس » و »دروبا » و »جوملا ». وقد يؤدي استغلالهما إلى سرقة بيانات حساسة، تشمل كلمات المرور والرموز الأمنية ومفاتيح واجهات البرمجة، فضلاً عن تغيير محتوى المواقع وتنفيذ أوامر داخل الخوادم.
وأصدر فريق تطوير PHP تحديثات أمنية لمعالجة الخلل، داعيا المستخدمين إلى تثبيتها فورا. كما أوصى التحذير بفصل الأنظمة المتأثرة عن الإنترنت مؤقتا إذا تعذر تحديثها.
ويُشدد الخبراء على ضرورة التحقق من إصدار PHP المستخدم لدى شركات الاستضافة، لأن تحديث المواقع وإضافاتها وحده لا يكفي لمعالجة الخطر.
