ثغرات PHP خطيرة تهدد مواقع ووردبريس.. تحديثات أمنية مرتقبة اليوم

يستعد مطورو لغة البرمجة PHP لإصدار تحديثات أمنية عاجلة لمعالجة ثغرتين بالغتي الخطورة قد تسمحان بتنفيذ تعليمات برمجية عن بُعد على الخوادم المتأثرة. وتثير ثغرات PHP الجديدة قلق مسؤولي مواقع ووردبريس والمتاجر الإلكترونية وأنظمة إدارة المحتوى، خصوصًا بعد تسرب معلومات عنهما قبل الموعد المقرر للإفصاح الأمني. وأكد فريق الاستجابة للحوادث لدى الاتحاد الأوروبي CERT-EU وجود تحذير رسمي بشأن الثغرتين، مع دعوة المؤسسات إلى الاستعداد لتثبيت الإصلاحات فور صدورها.

يحمل الخللان المعرفين CVE-2026-109618 وCVE-2026-109619، وتبلغ درجة خطورتهما المعلنة 9.2 من 10 وفق نظام CVSS بالإصدار الرابع. لكن التفاصيل الفنية المتعلقة بطريقة الاستغلال والإعدادات المعرضة للخطر لم تكن منشورة بالكامل عند إعداد هذا الخبر، لذلك لا يصح اعتبار كل موقع يعمل بلغة PHP مخترقًا أو قابلًا للاستغلال بالطريقة نفسها.

إجابة سريعة: ما خطورة ثغرات PHP الجديدة؟

تتمثل الخطورة المحتملة في تنفيذ تعليمات برمجية عن بُعد على الخادم، وهو ما قد يمنح المهاجم قدرة على التأثير في الملفات أو البيانات بحسب صلاحيات العملية المتضررة وشروط الاستغلال. وحدد التحذير الأمني موعدًا مستهدفًا لإصدار الإصلاحات يوم الأربعاء 21 أكتوبر 2026 الساعة الثانية ظهرًا بالتوقيت العالمي، الموافق الخامسة مساءً في مصر والسعودية. ويتعين على أصحاب المواقع تجهيز النسخ الاحتياطية والتحقق من إصدار PHP والاستعداد للتحديث بمجرد صدور الحزم الرسمية.

كيف ظهرت المعلومات عن الثغرتين؟

بدأت القصة بتسرب معلومات عن إعلان أمني كان يفترض أن يخضع لفترة سرية منسقة، وهي فترة تمنح المطورين ومزودي الاستضافة فرصة تجهيز إصلاحاتهم قبل إعلان التفاصيل للعامة. وبعد تداول الحديث عن خللين خطرين، أكدت شركة الأبحاث الأمنية watchTowr أن المعلومات المتعلقة بوجود الثغرتين صحيحة، لكنها امتنعت عن نشر التفاصيل التقنية قبل انتهاء فترة التنسيق.

وأدت التسريبات إلى زيادة الاهتمام بـثغرات PHP على مستوى شركات الاستضافة والباحثين الأمنيين. ونشر CERT-EU تحذيره في 21 أكتوبر، داعيًا المؤسسات إلى تجهيز خطة استجابة سريعة. ورغم تداول تقارير أولية عن درجة خطورة تبلغ 10 من 10، فإن الدرجة التي وردت في التحذير الأوروبي هي 9.2 وفق CVSS v4.0، وهو فارق ينبغي توضيحه لتجنب خلط نظام التقييم أو نقل أرقام قديمة.

ثغرات PHP – متى تصدر التحديثات الأمنية؟

بحسب الجدول المعلن، يستهدف فريق PHP نشر الإصلاحات يوم الأربعاء 21 أكتوبر 2026 الساعة 14:00 بالتوقيت العالمي UTC، أي الساعة 17:00 في مصر والسعودية. وكان بعض التقارير المبكرة قد أشار إلى يوم الخميس، قبل أن تتغير الخطة عقب التسريبات. لذلك يعتمد الخبر على الموعد الأحدث المعلن في التحذيرات الأمنية، وليس على التوقيت الذي ورد في أولى المنشورات المتداولة.

ولا يعني تحديد الموعد أن إصلاحات ثغرات PHP كانت متاحة بالفعل لحظة إعداد المقال. يجب انتظار إعلان الإصدارات الجديدة من المشروع الرسمي، ثم معرفة الحزم التي توفرها شركة الاستضافة أو نظام تشغيل الخادم. وقد تُقدم توزيعات لينكس إصلاحًا أمنيًا داخل حزمة تحمل ترقيمًا مختلفًا عن الإصدارات المنشورة مباشرة على PHP.net.

هل جميع إصدارات PHP معرضة للخطر؟

تشير التحذيرات الأولية إلى أن نطاق التأثر قد يمتد إلى إصدارات قديمة وحديثة من PHP، لكن القائمة النهائية للإصدارات والإعدادات المتأثرة تحتاج إلى الإفصاح الفني الرسمي. وذكرت تقارير أمنية أن الإصدارات القديمة التي انتهى دعمها لن تتلقى بالضرورة إصلاحات جديدة من فريق PHP، ما يزيد أهمية الانتقال إلى فروع لا تزال تحظى بالدعم الأمني.

تستدعي ثغرات PHP مراجعة الإصدارات المستخدمة في المواقع الفعلية، لا الاكتفاء بمعرفة الإصدار الموجود في لوحة الاستضافة الرئيسية. فقد يعمل أكثر من موقع أو نطاق فرعي بإصدار مختلف، كما قد تستخدم مهام سطر الأوامر وحاويات التطبيقات إصدارات مستقلة. ولا يُنصح بالترقية العشوائية إلى إصدار رئيسي جديد دون اختبار التوافق، خصوصًا في المواقع التجارية أو الأنظمة التي تعتمد على إضافات قديمة.

ثغرات PHP – ما تأثير التحذير على مواقع ووردبريس؟

تعتمد منصة WordPress على PHP في تنفيذ جزء أساسي من وظائفها على الخادم، لذلك فإن أي خلل خطير في بيئة التشغيل يستحق اهتمام أصحاب مواقع ووردبريس حتى عندما تكون نواة المنصة وإضافاتها محدثة. لكن الخطر لا يعني بالضرورة وجود ثغرة جديدة في ووردبريس نفسه؛ فالخلل المعلن يتعلق بلغة PHP التي يستخدمها الموقع.

عند التعامل مع ثغرات PHP يجب التمييز بين تحديث إضافات ووردبريس وتحديث بيئة PHP. فتثبيت آخر نسخة من إضافة أمنية أو تغيير قالب الموقع لا يصلح خللًا موجودًا في المفسر البرمجي على الخادم. وفي الاستضافات المشتركة تكون مسؤولية توفير إصدارات PHP المصححة لدى مزود الاستضافة غالبًا، بينما يتحمل مدير الخادم المستقل مسؤولية تطبيق التحديثات واختبار الخدمات.

جدول المعلومات المؤكدة حتى الآن

خطوات مهمة لأصحاب المواقع قبل الإصلاح

ينصح CERT-EU المؤسسات بحصر تطبيقاتها المعتمدة على PHP وتجهيزها للتحديث السريع، مع دراسة عزل الخدمات المكشوفة للإنترنت عند تعذر تطبيق الإصلاح في الأنظمة الأكثر حساسية. ولا يعني هذا ضرورة إيقاف كل موقع ووردبريس فورًا؛ إذ يجب تقييم المخاطر بحسب نوع الاستضافة والخدمات المعرضة للاتصال المباشر وإمكان توفير بدائل آمنة.

• تحقق من إصدار PHP الذي يعمل به كل موقع أو تطبيق.
• راجع إعلانات شركة الاستضافة بشأن التحديثات الأمنية المنتظرة.
• احتفظ بنسخة احتياطية حديثة من الملفات وقاعدة البيانات قبل أي ترقية كبيرة.
• اختبر توافق الموقع مع الإصدار الجديد في بيئة تجريبية متى أمكن.
• راقب سجلات الأخطاء والتنبيهات الأمنية غير المعتادة.
• لا تثبت ملفات إصلاح أو أدوات فحص من مصادر مجهولة.
• تابع الإعلان الرسمي قبل اعتماد أرقام الإصدارات المصححة.

وتعد هذه الإجراءات استعدادًا عمليًا للتعامل مع ثغرات PHP دون إدخال تغييرات قد تعطل الموقع. وإذا كنت تستخدم استضافة مشتركة، يمكنك الاستفسار عن موعد توفير الإصلاح دون محاولة تعديل ملفات PHP الأساسية يدويًا. أما في الخوادم الخاصة، فينبغي إعداد خطة تحديث وتراجع واضحة، والتأكد من أن عملية التحديث تشمل بيئة تشغيل الموقع الفعلية.

هل ظهرت هجمات تستغل الثغرتين بالفعل؟

لم تتضمن المعلومات الرسمية التي جرى التحقق منها دليلًا قاطعًا على وقوع حملة استغلال واسعة قبل نشر الإصلاحات. ووجود تسريب أو حديث عن أداة استغلال محتملة لا يثبت وحده حدوث اختراقات فعلية. كما لا يمكن الجزم بسهولة استغلال الثغرتين دون الاطلاع على الشروط الفنية اللازمة وطريقة تعرض الخدمات للطلبات الضارة.

ومع ذلك فإن ثغرات PHP تستحق التعامل الجاد بسبب طبيعة التأثير المحتمل وانتشار اللغة في أنظمة إدارة المحتوى والمتاجر. ويمكن أن تصبح الفترة بين نشر التفاصيل التقنية وتثبيت الإصلاحات حساسة، خاصة للخوادم التي لا تحصل على تحديثات تلقائية. لهذا تأتي أهمية التنسيق المبكر مع مزود الخدمة وتجهيز نسخة احتياطية قبل موعد الإصلاح.

كيف تعرف أن خادمك حصل على الإصلاح؟

أفضل طريقة هي مطابقة إصدار PHP أو حالة حزمة نظام التشغيل مع الإعلان الأمني الرسمي عند صدوره. لا تعتمد على رقم إصدار قديم وحده للحكم بوجود الثغرة، لأن بعض التوزيعات تقدم ترقيعات أمنية ضمن نسخ تحمل رقمًا أساسيًا ثابتًا. وفي المقابل لا تفترض أن وجود رقم إصدار أحدث يعني تطبيق كل تصحيح قبل مراجعة سجل التحديثات.

يمكن متابعة موقع PHP الرسمي للحصول على أخبار الإصدارات، والتحذير الأمني الصادر عن CERT-EU لمعرفة المعلومات المتاحة عن الحادث. وعندما تصدر الإصدارات المصححة، يجب مراجعة قائمة الإصدارات المتأثرة والإصلاحات الفعلية قبل تحديد ما إذا كان موقع معين يحتاج إلى تغيير فوري.

تمثل ثغرات PHP اختبارًا جديدًا لاستعداد مواقع الإنترنت لتحديث بيئات تشغيلها، وليس مجرد تحديث عادي داخل لوحة ووردبريس. وحتى صدور البيانات التقنية النهائية، يبقى التصرف الأنسب هو الاستعداد المنظم والتحديث من القنوات الموثوقة، دون افتراض وقوع اختراق أو الترويج لوسائل إصلاح غير معتمدة.

لا يسمح بنقل هذا المحتوى من سوالف دون الاشارة برابط مباشر

استضافة مجانية