هل موقعك معني بما يجري؟ على الأرجح نعم، فلغة بي إتش بي تشغل نسبة كبيرة من مواقع الإنترنت تقدرها بعض الجهات بنحو 70%، بينها مواقع ووردبريس ومتاجر إلكترونية كثيرة. وقد أصدر فريق الأمن في مشروع بي إتش بي يوم الأربعاء 21 أكتوبر 2026 تحديثات طارئة تعالج ثغرتين حرجتين تسمحان لمهاجم غير مسجل بتشغيل أوامره على الخادم عن بُعد، وحصلت كل منهما على تقييم 9.2 من 10 في مقياس خطورة الثغرات.
ما الإصدارات التي تحتاجها؟ الإصدارات الآمنة هي 8.5.12 و8.4.27 و8.3.36 و8.2.35، والمشروع يحث جميع المستخدمين على التحديث فورًا. وتشمل دائرة الخطر كل خادم يستقبل طلبات الويب عبر بي إتش بي، مع تقدير المشروع أن الخطر أعلى ما يكون حين تعمل اللغة وحدةً مدمجة داخل خادم أباتشي، إذ أمكن تنفيذ الهجوم قبل أن تبدأ شيفرة الموقع نفسها في العمل.
إذا كان موقعك على استضافة مشتركة، فماذا تفعل؟ تواصل مع شركة الاستضافة واسألها عن رقم الإصدار المثبت وموعد التحديث، فقد تسلمت توزيعات لينكس والجهات التي تقدم دعمًا طويل الأمد هذه الإصلاحات مسبقًا، وكثير منها أتاح حزمًا محدثة.
وماذا عن المواقع العاملة بإصدارات قديمة؟ الإصدار 8.1 وما قبله لم يعد يتلقى تحديثات من المشروع، لكن فريق الأمن نشر هذه المرة إصلاحات مختصرة للإصدارات 7.4 و8.0 و8.1 لمن يبني اللغة بنفسه من الشيفرة المصدرية، والحل الأسلم يبقى الانتقال إلى إصدار مدعوم. ويستحق التنبيه أن دعم الإصدار 8.2 ينتهي في 31 ديسمبر 2026.
هل تكفي تعديلات الإعدادات بدل التحديث؟ لا، فالمشروع ذكر إجراءات مؤقتة تقلل التعرض لبعض مسارات الهجوم، مثل خفض الحد الأقصى لحجم البيانات المرسلة وإيقاف خاصية تتبع تقدم رفع الملفات في الجلسات، لكنه شدد على أنها لا تجعل الخادم آمنًا وأن التحديث هو الحل الكامل الوحيد. وفي 23 أكتوبر أضاف تنبيهًا ثالثًا ينصح بإيقاف الخاصية نفسها حتى صدور الإصدار التصحيحي التالي.
لماذا وصفت شبكة سي إن بي سي ما يحدث بأنه «أكتوبر الأسود»؟ لأن الثغرتين كشفهما باحثون في شركتي ويز وكاليف مستعينين بنماذج ذكاء اصطناعي، وما إن انتشرت التحذيرات حتى سارعت حكومات وشركات حول العالم إلى الترقيع، ووضعت وزارة الداخلية الفرنسية مواقعها كلها في وضع صيانة وقائية، فيما رصد فريق أمن أمازون محاولة استغلال على نظام مراقبة تابع له في 17 أكتوبر، أي قبل الإعلان بأربعة أيام.
