ثغرتان بخطورة 9.2 تدفعان مواقع أوروبية للتوقف مع صدور تحديثات بي إتش بي
الحقائق الرئيسية
أعلن مشروع بي إتش بي في 21 أكتوبر 2026 إصدار تحديثات لإصلاح ثغرتين حرجتين تتيحان تنفيذ شيفرة عن بعد دون مصادقة، فيما أوقفت مواقع حكومية ومدرسية ومستشفيات في أوروبا عملها احترازيًا خلال الأزمة. وتشمل التحديثات الإصدارات 8.5.12 و8.4.27 و8.3.36 و8.2.35، التي قال المشروع إنها تعالج الخللين الأمنيين. ومنحت هيئة الصحة البريطانية كلًا من الثغرتين درجة خطورة تبلغ 9.2 وفق الإصدار الرابع من نظام تقييم الثغرات الأمنية. ويرتبط الخلل الأول بفساد الذاكرة عند نفادها، بينما ينشأ الآخر من حالة عامة متقادمة داخل بيئة التشغيل، بحسب تنبيه الهيئة. وأفادت رويترز بأن تعطيل المواقع الأوروبية جرى يوم الأربعاء، في إجراء احترازي لمواجهة المخاطر المرتبطة باللغة. وجمع تطور الأزمة بذلك بين نشر إصلاحات لبيئة التشغيل ووقف خدمات إلكترونية في مؤسسات حكومية وتعليمية وصحية.
وفي تقييم لإمكان استغلال الثغرات، قال المركز الكندي للأمن السيبراني إن تقارير المصادر المفتوحة تشير إلى توافر نموذج لإثبات الاستغلال. وأضاف في تنبيهه أنه «لم يُرصد استغلال نشط حتى وقت إصدار التنبيه»، رابطًا هذا التقييم بموعد نشر التحذير. أما شركة ريد هات، فأوضحت أن الاستغلال الموثوق للخلل المرتبط بنفاد الذاكرة يتطلب شروطًا تقنية دقيقة. وقالت إن تنفيذه يتطلب «معالجة دقيقة لذاكرة الكومة وتوقيتًا دقيقًا». ويتعلق هذا التوصيف بالخلل الناجم عن فساد الذاكرة عند نفادها، الذي صنفته هيئة الصحة البريطانية ضمن الثغرات القادرة على إتاحة تنفيذ شيفرة عن بعد.
وتأتي التحذيرات الأمنية في ظل انتشار واسع للغة بي إتش بي في تشغيل المواقع، إذ بلغت حصتها 69.3% من المواقع المعروفة لغة البرمجة المستخدمة لديها على الخادم، بحسب إحصاء دبليو 3 تكز المؤرخ في 22 أكتوبر 2026. وعلى مستوى إصدارات التشغيل، قالت مالوري إن إعادة إحصائها حسب الإصدار الدقيق أظهرت أن 73.5% من الخدمات التي تفصح عن إصدار بي إتش بي تستخدم الإصدار 8.1 أو أقدم. ويتناول إحصاء مالوري الخدمات التي تكشف إصدارها، بينما يقيس إحصاء دبليو 3 تكز استخدام اللغة بين المواقع المعروفة لغة الخادم لديها. وقالت غوغل كلاود إن الفروع 8.1 والأقدم بلغت نهاية عمر الدعم، وإن مشروع بي إتش بي لا يصدر إصلاحات لها. وفي ما يتعلق بالتطبيقات المبنية على اللغة، حذر مركز الاستجابة للحوادث الحاسوبية في لوكسمبورغ من الاكتفاء بتحديث أنظمة إدارة المحتوى. وأوضح أن تحديث ووردبريس أو دروبال أو جوملا، أو أي تطبيق آخر يعتمد على بي إتش بي، لا يكفي وحده لمعالجة المشكلة. وشدد على ضرورة تحديث بيئة بي إتش بي الأساسية التي تشغّل هذه التطبيقات.
وأقرت مؤسسة بي إتش بي بوجود خلل في إدارة الاستجابة الأمنية، ووصفت تأخر الإصلاح بأنه «إخفاق هيكلي». وعزت المؤسسة ذلك إلى آلية اتخاذ القرار داخل فريق الأمن ونقص الموارد المتاحة له، في بيانها الصادر في 21 أكتوبر 2026 بشأن الإصدار الأمني وتعزيز أمن المشروع. وفي سوق الأسهم، ارتفع سهم كلاودفلير بنسبة 5.52% خلال تداولات الأربعاء 21 أكتوبر، بحسب تغطية إنفستينغ المنشورة أثناء الجلسة. وبلغ سعر السهم وقت التغطية 307.79 دولارات. وجاءت هذه الحركة أثناء التداول في اليوم نفسه الذي أعلن فيه مشروع بي إتش بي إصدارات الإصلاح وأوقفت فيه مواقع أوروبية خدماتها احترازيًا.
وبعد إصدار تحديثات 21 أكتوبر، تظل إجراءات التخفيف المؤقتة ضمن الاستجابة التي توصي بها الجهات الأمنية وموردو الأنظمة إلى حين تطبيق الإصلاحات المناسبة. وقال المركز البريطاني للأمن السيبراني إن تعذر تطبيق التدابير المؤقتة، أو استغراق تطبيقها وقتًا طويلًا، يستدعي النظر في إخراج النظام من الخدمة. وجاءت توصيته بصيغة «ينبغي النظر في إخراج النظام من الخدمة»، عند تحقق أي من هذين الشرطين. ومن جانبها، قالت بالو ألتو نتوركس إنها ستعالج المشكلة في إصدارات مقبلة من نظام بان أو إس. وأوصت الشركة بتطبيق الحل البديل وإجراءات التخفيف إلى حين توافر إصدارات النظام التي تتضمن الإصلاح.