كشف باحثون في شركة Wiz المتخصصة في الأمن السيبراني عن ثغرتين حرجتين في لغة البرمجة PHP أُطلق عليهما اسم «PHP2Shell»، تتيحان تنفيذ تعليمات برمجية عن بُعد دون مصادقة على الخوادم المصابة، في ما يُعد من أخطر الثغرات في تاريخ اللغة التي تشغّل نحو 70% من مواقع الإنترنت.
وتؤثر الثغرتان، المسجلتين بالرمزين CVE-2026-109618 وCVE-2026-109619، في كل إصدارات PHP الصادرة خلال العقد الماضي تقريباً حتى الإصدار 5.4، بما يشمل بيئات التشغيل عبر Apache وPHP-FPM وphp-cgi وFrankenPHP وLiteSpeed. وتشغّل اللغة أنظمة إدارة محتوى واسعة الانتشار مثل ووردبريس وجوملا ودروبال وميدياويكي.
وتنقسم الثغرات إلى مسارين: يتضمن الأول (CVE-2026-109618) خطأ في معالجة متابعة رفع الملفات أُثبت استغلاله بتنفيذ تعليمات برمجية قبل المصادقة على ووردبريس ودروبال وجوملا، إلى جانب كشف ذاكرة عمليات PHP عن بُعد بصرف النظر عن التطبيق، بما قد يعرّض كلمات مرور ورموز مصادقة ومفاتيح API للسرقة. ويشمل الثاني (CVE-2026-109619) خطأ في معالجة تتبّع الأخطاء الفادحة وخلطاً في أنواع البيانات ضمن OPcache أُثبت استغلاله بتنفيذ تعليمات برمجية قبل المصادقة على ووردبريس ودروبال. وتختلف متطلبات الاستغلال الفعلية بين الثغرات وفقاً لإعدادات كل خادم.
ويمكن للمهاجمين استغلال الثغرتين لتنفيذ تعليمات برمجية خبيثة على الخادم، أو قراءة ذاكرة العمليات التي قد تتضمن كلمات مرور ورموز مصادقة ومفاتيح API وشهادات، وفقاً لبحث Wiz الذي استعان بنماذج ذكاء اصطناعي متقدمة، بينها Gemini 4 Argon وGPT-5.6 Sol، لاكتشاف الثغرات وبناء الاستغلال بعدما ظلت كامنة في الشيفرة لأكثر من عقد.
وأصدر فريق PHP تصحيحاً ضمن الإصدارات 8.5.12 و8.4.27 و8.3.36 و8.2.35، فيما حثّت وكالة الأمن السيبراني والبنية التحتية الأميركية (CISA) المؤسسات على التحديث الفوري، مؤكدة عدم رصد استغلال ناجح في العالم الحقيقي حتى تاريخ نشر التنبيه، مع إمكانية الاعتماد مؤقتاً على جدران حماية تطبيقات الويب لحين التحديث.
ونصحت CISA المؤسسات غير القادرة على التحديث فوراً، أو التي تعتمد إصدارات PHP 8.1 وما قبلها غير المدعومة، بإيقاف الأنظمة العاملة بـPHP حتى اكتمال التحديث، كما أصدرت أجهزة أمنية في الولايات المتحدة وبريطانيا وأستراليا وهولندا ونيوزيلندا وكندا تنبيهات مماثلة.
المصدر: CISA – Wiz Research
