في يوم الأربعاء، كادت تقنية ويب مفتوحة المصدر عمرها عقود تُدعى PHP أن تكسر الإنترنت، بفضل ثغرتين ظلتا خامدتين لسنوات حتى اكتشف الباحثون مؤخرًا طريقة لاستغلالهما. تُلقب الأخطاء بـ PHP2Shell، والمصنفة رسميًا باسم CVE-2026-109618 وCVE-2026-109619. بعبارات بسيطة، تسمح الأخطاء لأي شخص يعرف كيفية استغلالها باقتحام نظام متصل بالإنترنت يعمل بـ PHP، مثل موقع ويب أو خادم متصل بالإنترنت، دون الحاجة إلى كلمة مرور للوصول إلى بياناته أو تعديلها. وكما هي الحال، كانت هذه مشكلة كبيرة جدًا، أجبرت ملايين الأشخاص حول العالم على التسابق لتصحيح أنظمتهم قبل أن يستغلها القراصنة الخبثاء.

أصدرت مؤسسة PHP، التي تدير برنامج الويب PHP، تصحيحات علنية يوم الأربعاء تعالج الأخطاء، والتي عند تثبيتها تمنع الخوادم المتصلة بالويب من التعرض للهجوم. كانت المؤسسة قد منحت بالفعل بعضًا من أكبر شركات الإنترنت ومضيفي الويب الذين يعتمدون على PHP بداية مبكرة للتصحيح. بفضل أسابيع من الأحاديث الجانبية والتنسيق الدقيق عبر الصناعة، تجنب العالم - حتى الآن - إلى حد كبير الاستغلال الجماعي للإنترنت. اعتبارًا من يوم الأربعاء، بدأت الحكومات في حث المواطنين والشركات التي لديها مواقع ويب على اتخاذ إجراءات لتخفيف المخاطر من جانبهم. أغلقت مجموعة واسعة من الصناعات مواقعها الإلكترونية وسحبت الخدمات دون اتصال لتصحيح أنظمتها. قامت البنوك وتجار التجزئة ومواقع الألعاب والمتاجر الإلكترونية والمستشفيات وبعض الوكالات الحكومية بإغلاق خوادمها لمنع الهجمات. لكن الباحثين الأمنيين يحذرون من أن الوضع لم ينته بعد، وأن عددًا كبيرًا من الأنظمة حول العالم لا يزال غير مصحح وعرضة للاختراق وسرقة البيانات. من غير المرجح أيضًا أن تكون هذه آخر فزعة كبيرة لبرمجيات الإنترنت، حيث يتوقع البعض أن يؤدي ظهور الذكاء الاصطناعي إلى الكشف بسرعة عن ثغرات لم تُكتشف بعد تنتظر من يجدها ويستغلها.

وجد باحثون أمنيون في كاليفورنيا خطأين في PHP، وهي لغة برمجة تستخدم على نطاق واسع حول العالم لبناء مواقع الويب وتطبيقات الويب، سواء على الإنترنت أو المستضافة محليًا على شبكات الشركات، مثل الإنترانت والمواقع الداخلية. PHP مفتوحة المصدر، مما يعني أنها مجانية ومتاحة للاستخدام من قبل أي شخص لأي سبب تقريبًا. وبالتالي، أصبحت واحدة من أكثر لغات برمجة الويب شعبية واستخدامًا على الويب اليوم. تم اكتشاف الخطأين لأول مرة في عام 2024 ولكن لم يُعتبرا قابلين للاستغلال في ذلك الوقت، ولم يتم تصحيحهما. وجد الباحثون الأمنيون مؤخرًا طريقة لاستغلالهما، مما دفعهم إلى تنبيه صانعي البرنامج لإصلاحهما. أبلغت كاليفورنيا مؤسسة PHP، التي بدأت فترة إصلاح الأخطاء والكشف المنسق. فعلت المؤسسة ذلك من خلال تقديم المعلومات والتصحيحات حول المشكلات الأمنية تحت حظر مشدد - أي الاحتفاظ بها سرًا حتى موعد نهائي محدد - لإعطاء الشركات الكبيرة فرصة للسبق في تثبيت الإصلاحات.

PHP2Shell خطيرة جدًا لأنها يمكن استغلالها عن بُعد عبر الإنترنت ودون أن يضطر الضحية إلى النقر على رابط أو فتح ملف. يُعرف هذا باسم تنفيذ التعليمات البرمجية عن بُعد، وهو أحد أكثر أنواع الأخطاء تدميرًا للاستغلال لأنه يمكن أن يمنح قراصنة في أي مكان في العالم سيطرة كاملة فعليًا على نظام متأثر وغير مصحح. والأسوأ من ذلك، أن أخطاء PHP المحددة هذه تجعل من الممكن اقتحام أي نظام غير مصحح على الإنترنت دون الحاجة إلى كلمة مرور أو أي بيانات اعتماد أخرى عبر الإنترنت، وهو ما يُعرف بالوصول غير المصادق. وهذا من شأنه أن يسمح لقرصان خبيث بزرع برامج ضارة على الكمبيوتر، مثل سرقة البيانات أو ببساطة الحفاظ على موطئ قدم طويل الأمد يمكنه العودة إليه لاحقًا.

الأخطاء محفوفة بالمخاطر بشكل خاص لأن PHP برنامج شائع جدًا، جزئيًا لأنه مجاني وسهل الاستخدام نسبيًا، ولكن أيضًا لأنه موجود منذ عقود. حوالي 70% من الإنترنت المتصل بالويب يعتمد على PHP، على الرغم من أن استخدامه انخفض ببطء على مر السنين لصالح أحدث