أصدر مركز أمن تينسنت كلاود تنبيهًا في 21 أكتوبر، محذرًا من ثغرة تنفيذ التعليمات البرمجية عن بُعد في PHP، تُعرف باسم php2shell، وتتعلق بالمعرّفين CVE-2026-109618 وCVE-2026-109619.
تكمن خطورة هذه الثغرة في أن المهاجم لا يحتاج إلى تسجيل الدخول أو امتلاك حساب؛ إذ قد يتمكن، بمجرد إرسال طلب POST متعدد الأجزاء مُعدّ خصيصًا، من التسبب في إتلاف الذاكرة والحصول على صلاحية تنفيذ التعليمات البرمجية عن بُعد. ومن الناحية النظرية، يمكنه بذلك السيطرة بالكامل على الخادم المتأثر. وتمثل الثغرات على مستوى اللغة من هذا النوع ضغطًا كبيرًا على الأعمال التقليدية التي تعمل على السحابة.
وكان البيت الأبيض الأمريكي قد أُبلغ بالأمر في 16 أكتوبر، ويعمل حاليًا بالتنسيق مع الوكالات الفيدرالية ومختبرات تكامل الأنظمة ومشغّلي الشبكات لتسريع إصدار التصحيحات وتقييم التأثير على الأنظمة الحكومية والبنية التحتية الحيوية. ويشير تدخل مزوّدي الخدمات السحابية والحكومة في الوقت نفسه إلى أن مستوى الخطر في هذه المرة تجاوز «ثغرة عادية في برمجيات مفتوحة المصدر» وأصبح تهديدًا يمس البنية التحتية.
لا تزال التفاصيل المنشورة حول نطاق الإصدارات المتأثرة والجدول الرسمي لإصدار التصحيحات محدودة. وفي المدى القصير، من الأنسب التحقق أولًا مما إذا كانت أعمالكم تعتمد على مكدس PHP، ومتابعة إرشادات الإصلاح الصادرة عن المورّدين في الوقت المناسب، والتعامل مع هذه الحادثة بوصفها فحصًا لأمن البنية التحتية، لا مجرد خبر عابر.
تكمن خطورة هذه الثغرة في أن المهاجم لا يحتاج إلى تسجيل الدخول أو امتلاك حساب؛ إذ قد يتمكن، بمجرد إرسال طلب POST متعدد الأجزاء مُعدّ خصيصًا، من التسبب في إتلاف الذاكرة والحصول على صلاحية تنفيذ التعليمات البرمجية عن بُعد. ومن الناحية النظرية، يمكنه بذلك السيطرة بالكامل على الخادم المتأثر. وتمثل الثغرات على مستوى اللغة من هذا النوع ضغطًا كبيرًا على الأعمال التقليدية التي تعمل على السحابة.
وكان البيت الأبيض الأمريكي قد أُبلغ بالأمر في 16 أكتوبر، ويعمل حاليًا بالتنسيق مع الوكالات الفيدرالية ومختبرات تكامل الأنظمة ومشغّلي الشبكات لتسريع إصدار التصحيحات وتقييم التأثير على الأنظمة الحكومية والبنية التحتية الحيوية. ويشير تدخل مزوّدي الخدمات السحابية والحكومة في الوقت نفسه إلى أن مستوى الخطر في هذه المرة تجاوز «ثغرة عادية في برمجيات مفتوحة المصدر» وأصبح تهديدًا يمس البنية التحتية.
لا تزال التفاصيل المنشورة حول نطاق الإصدارات المتأثرة والجدول الرسمي لإصدار التصحيحات محدودة. وفي المدى القصير، من الأنسب التحقق أولًا مما إذا كانت أعمالكم تعتمد على مكدس PHP، ومتابعة إرشادات الإصلاح الصادرة عن المورّدين في الوقت المناسب، والتعامل مع هذه الحادثة بوصفها فحصًا لأمن البنية التحتية، لا مجرد خبر عابر.