في 21 أكتوبر 2026، نشرت وكالة الأمن القومي تنبيهاً بشأن PHP. ودعت المؤسسات التي تستخدم هذه اللغة إلى تثبيت التحديثات التي تعالج ثغرتين خطيرتين سريعاً. ويوصي التنبيه بإخراج الأنظمة من الخدمة إلى حين التخفيف الكامل من المخاطر إذا تعذر تحديثها فوراً.
يحدد نشرة مشروع PHP الثغرتين CVE-2026-109618 وCVE-2026-109619، وقد تتيحان تنفيذ تعليمات برمجية عن بُعد من دون مصادقة. والإصدارات المصححة هي PHP 8.5.12 و8.4.27 و8.3.36 و8.2.35. وعلى مسؤولي الأنظمة الذين يستخدمون حزم توزيعات أو مزودي دعم ممتد مراجعة التحديثات لدى مزوديهم. ولم تعد الإصدارات PHP 8.1 وما قبلها تتلقى إصلاحات أمنية من المشروع الأساسي.
يوضح مشروع PHP أن تثبيت إصدار يتضمن التصحيح هو الحل الكامل الوحيد؛ وقد تحد التدابير المؤقتة من بعض مسارات الهجوم من دون أن تؤمن النظام بالكامل.
ما صلة ذلك بأبحاثنا؟
تتعلق الثغرات المذكورة بـ PHP. ولا تثبت أن خدمة تابعة لمؤسسة Fondation UvH تستخدم إصداراً متأثراً؛ كما أن هذه الملاحظة ليست تدقيقاً لبنيتها التحتية. وهي تذكير بأن أمن الخدمات الرقمية يعتمد أيضاً على حصر مكونات البرمجيات وتحديثها في الوقت المناسب، إلى جانب تقييم نماذج الذكاء الاصطناعي.