🔍 70٪ من المواقع مكشوفة بلا حماية، وأول ما صدر من عالم العملات المشفرة كان بيانًا
في 21 أكتوبر، الساعة 14:00 بالتوقيت العالمي المنسق، أصدرت PHP إعلانًا رسميًا. ثغرتان، CVE-2026-109618 وCVE-2026-109619، وكلتاهما بتقييم 9.2 وفق CVSS v4.0، وتتيحان تنفيذ تعليمات برمجية عن بُعد دون مصادقة. الإصدارات التي أُصلحت فيها الثغرتان هي 8.5.12 و8.4.27 و8.3.36 و8.2.35. كل ما يستخدم PHP لمعالجة طلبات الويب يقع ضمن نطاق الخطر: PHP-FPM وmod_php في Apache وphp-cgi وFrankenPHP وLiteSpeed. وقد أشارت PHP رسميًا إلى أن mod_php هو الأعلى خطورة، إذ يمكن تفعيل الثغرة قبل أن يصل الطلب إلى شيفرة تطبيقك.
وهكذا تصاعدت الهجمات. دوّن الرئيس التنفيذي لشركة Cloudflare، Matthew Prince، سلسلة من الأرقام: خلال الساعات العشر السابقة للإعلان، بضعة آلاف من محاولات الاستكشاف. وبعد 45 دقيقة، عشرات الآلاف. وبعد ساعتين، مئات الآلاف. والآن، ملايين. ويقدّر بعض الخبراء أن 70٪ من مواقع العالم تقع ضمن نطاق هذه الثغرات.
أُخرجت مواقع حكومية في الولايات المتحدة والمملكة المتحدة مؤقتًا من الخدمة لتثبيت التحديثات، كما أصدرت وكالة الأمن القومي الأمريكية تحذيرًا. ووصفت Wiz الأمر بأنه إحدى أخطر الثغرات في تاريخ PHP، وربما في تاريخ البرمجيات؛ إذ ظلت عدة عيوب جوهرية كامنة لعقود، ويتطلب جمعها في سلسلة قابلة للاستغلال درجة من التعقيد يكاد يستحيل على الباحثين البشر بلوغها.
لذلك اكتشفها الذكاء الاصطناعي. فالبشر لا يستطيعون التحرك بهذه السرعة. في أغسطس، اكتشف أحد الباحثين الثغرة الأولى، ثم عالجت Wiz Research وOpenAI ما تبقى. وأرى أن عبارة Sam Altman هي الأكثر واقعية؛ قال إنه لم يعد يعتقد أننا قادرون على إصلاح جميع الأخطاء البرمجية.
وفي يوم 23، ظهرت ثغرة ثالثة: CVE-2026-115560. قالت PHP إن شروط استغلالها معقدة للغاية، وإنها ستُدرج ضمن دورة الإصدار المعتادة، ونصحت مبدئيًا بتعطيل session.upload_progress.
أما تحرك قطاع العملات المشفرة فكان إصدار التصريحات. قالت BNB Chain إن PHP غير موجودة في حزمة تقنياتها، وقالت Trust Wallet الشيء نفسه. وحذّر CZ عبر X قائلًا: «سمّوني مفرط الارتياب إن شئتم، لكن توخّوا الحذر الشديد عند زيارة أي موقع خلال الأيام المقبلة». التصريحات أسرع من التحديثات. وهذه هي الحقيقة.
لكن ما يستحق الانتباه حقًا هو الجانب الآخر: الخطر ليس على السلسلة. فهاتان الثغرتان لا تصلان إلى العقود الذكية ولا إلى المحافظ الباردة. إنما تستهدفان الواجهة الأمامية للتطبيقات اللامركزية، وبوابات التحقق من الهوية KYC، والأنظمة الخلفية للمنصات، وصفحات ربط المحافظ؛ أي الصفحة التي تكتب فيها عبارة الاسترداد بنفسك. فإذا حُقنت الواجهة الأمامية بشيفرة لسرقة العملات، فلن يفيدك حتى لو كان العقد الذكي الأساسي سليمًا تمامًا. ومن أخطر التفاصيل أن ملف تعريف ارتباط واحدًا في PHP قد يكشف رموز الجلسات ومفاتيح API، بل وحتى المفاتيح الخاصة ببروتوكول TLS.
ردّد عالم العملات المشفرة لسنوات: لا تثق، بل تحقّق. لكن التحقق يتوقف عند مستوى الشيفرة؛ فلا يستطيع أي مستخدم معرفة الإصدار الفرعي من PHP الذي يعمل به النظام الخلفي لمنصة ما. وفي هذه الموجة، لا يملك المستخدم السيطرة إلا على أمرين: ألا يربط محفظته بصفحات مجهولة، وألا يُدخل أي معلومات في المواقع التي يصل إليها عبر إعلانات البحث.
لم تتأثر الأسواق بهذا الأمر. لا رد فعل على الإطلاق. أثناء كتابة هذه السطور، تراوحت أسعار BTC لدى أربعة مصادر بين 80,800 و80,911 دولارًا، بانخفاض 0.6٪ خلال 24 ساعة. وتراوحت أسعار ETH بين 2,368 و2,372. وهذا ليس سبب الانخفاض.
$BTC $ETH
#中本聪国际社区Baoluo币商资本 #Bitcoin #الأمن_السيبراني
في 21 أكتوبر، الساعة 14:00 بالتوقيت العالمي المنسق، أصدرت PHP إعلانًا رسميًا. ثغرتان، CVE-2026-109618 وCVE-2026-109619، وكلتاهما بتقييم 9.2 وفق CVSS v4.0، وتتيحان تنفيذ تعليمات برمجية عن بُعد دون مصادقة. الإصدارات التي أُصلحت فيها الثغرتان هي 8.5.12 و8.4.27 و8.3.36 و8.2.35. كل ما يستخدم PHP لمعالجة طلبات الويب يقع ضمن نطاق الخطر: PHP-FPM وmod_php في Apache وphp-cgi وFrankenPHP وLiteSpeed. وقد أشارت PHP رسميًا إلى أن mod_php هو الأعلى خطورة، إذ يمكن تفعيل الثغرة قبل أن يصل الطلب إلى شيفرة تطبيقك.
وهكذا تصاعدت الهجمات. دوّن الرئيس التنفيذي لشركة Cloudflare، Matthew Prince، سلسلة من الأرقام: خلال الساعات العشر السابقة للإعلان، بضعة آلاف من محاولات الاستكشاف. وبعد 45 دقيقة، عشرات الآلاف. وبعد ساعتين، مئات الآلاف. والآن، ملايين. ويقدّر بعض الخبراء أن 70٪ من مواقع العالم تقع ضمن نطاق هذه الثغرات.
أُخرجت مواقع حكومية في الولايات المتحدة والمملكة المتحدة مؤقتًا من الخدمة لتثبيت التحديثات، كما أصدرت وكالة الأمن القومي الأمريكية تحذيرًا. ووصفت Wiz الأمر بأنه إحدى أخطر الثغرات في تاريخ PHP، وربما في تاريخ البرمجيات؛ إذ ظلت عدة عيوب جوهرية كامنة لعقود، ويتطلب جمعها في سلسلة قابلة للاستغلال درجة من التعقيد يكاد يستحيل على الباحثين البشر بلوغها.
لذلك اكتشفها الذكاء الاصطناعي. فالبشر لا يستطيعون التحرك بهذه السرعة. في أغسطس، اكتشف أحد الباحثين الثغرة الأولى، ثم عالجت Wiz Research وOpenAI ما تبقى. وأرى أن عبارة Sam Altman هي الأكثر واقعية؛ قال إنه لم يعد يعتقد أننا قادرون على إصلاح جميع الأخطاء البرمجية.
وفي يوم 23، ظهرت ثغرة ثالثة: CVE-2026-115560. قالت PHP إن شروط استغلالها معقدة للغاية، وإنها ستُدرج ضمن دورة الإصدار المعتادة، ونصحت مبدئيًا بتعطيل session.upload_progress.
أما تحرك قطاع العملات المشفرة فكان إصدار التصريحات. قالت BNB Chain إن PHP غير موجودة في حزمة تقنياتها، وقالت Trust Wallet الشيء نفسه. وحذّر CZ عبر X قائلًا: «سمّوني مفرط الارتياب إن شئتم، لكن توخّوا الحذر الشديد عند زيارة أي موقع خلال الأيام المقبلة». التصريحات أسرع من التحديثات. وهذه هي الحقيقة.
لكن ما يستحق الانتباه حقًا هو الجانب الآخر: الخطر ليس على السلسلة. فهاتان الثغرتان لا تصلان إلى العقود الذكية ولا إلى المحافظ الباردة. إنما تستهدفان الواجهة الأمامية للتطبيقات اللامركزية، وبوابات التحقق من الهوية KYC، والأنظمة الخلفية للمنصات، وصفحات ربط المحافظ؛ أي الصفحة التي تكتب فيها عبارة الاسترداد بنفسك. فإذا حُقنت الواجهة الأمامية بشيفرة لسرقة العملات، فلن يفيدك حتى لو كان العقد الذكي الأساسي سليمًا تمامًا. ومن أخطر التفاصيل أن ملف تعريف ارتباط واحدًا في PHP قد يكشف رموز الجلسات ومفاتيح API، بل وحتى المفاتيح الخاصة ببروتوكول TLS.
ردّد عالم العملات المشفرة لسنوات: لا تثق، بل تحقّق. لكن التحقق يتوقف عند مستوى الشيفرة؛ فلا يستطيع أي مستخدم معرفة الإصدار الفرعي من PHP الذي يعمل به النظام الخلفي لمنصة ما. وفي هذه الموجة، لا يملك المستخدم السيطرة إلا على أمرين: ألا يربط محفظته بصفحات مجهولة، وألا يُدخل أي معلومات في المواقع التي يصل إليها عبر إعلانات البحث.
لم تتأثر الأسواق بهذا الأمر. لا رد فعل على الإطلاق. أثناء كتابة هذه السطور، تراوحت أسعار BTC لدى أربعة مصادر بين 80,800 و80,911 دولارًا، بانخفاض 0.6٪ خلال 24 ساعة. وتراوحت أسعار ETH بين 2,368 و2,372. وهذا ليس سبب الانخفاض.
$BTC $ETH
#中本聪国际社区Baoluo币商资本 #Bitcoin #الأمن_السيبراني