حذرت وكالة الأمن القومي الأميركية (NSA) من ثغرتين خطيرتين داخل لغة البرمجة PHP قد تسمحان للمهاجمين بتنفيذ أوامر عن بُعد والسيطرة على خوادم مواقع الإنترنت والتطبيقات، بحسب تقرير تابعته وكالة الأنباء العراقية.

وأشار التقرير إلى أن التحذير صدر يوم الأربعاء، وحدد الثغرتين بالرمزين (CVE-2026-109618) و(CVE-2026-109619)، مع تقييم لدرجتهما يبلغ 9.2 من أصل 10، مؤكداً أن الخطر يكمن في وجود الثغرتين داخل لغة PHP نفسها وليس في إضافات أو أنظمة إدارة محتوى محددة.

وحذّر التقرير من أن استغلال الثغرتين قد يؤدي إلى الوصول إلى بيانات حساسة مثل كلمات المرور والرموز الأمنية ومفاتيح واجهات البرمجة (API)، كما قد يتيح التلاعب بمحتويات المواقع والوصول إلى معلومات مستخدمين.

أظهرت اختبارات أمنية إمكانية استغلال الثغرتين في بيئات تشغيل تستخدم أنظمة إدارة المحتوى مثل WordPress وDrupal وJoomla، على الرغم من أن الثغرتين لا تتواجدان في تلك الأنظمة نفسها بل في لغة البرمجة التي تعتمد عليها.

ولفت التقرير إلى أن اكتشاف الثغرتين جاء بمشاركة فرق بحثية متخصصة من بينها شركتا كاليف وويز، وبالتعاون مع فريق تطوير (PHP) وشركة أوبن إيه آي، مشيراً إلى أن أدوات الذكاء الاصطناعي أسهمت في تحليل الأخطاء البرمجية والكشف عن مسارات استغلالها.

وأضاف أن بعض الأخطاء المسببة لهاتين الثغرتين تعود لأكثر من عشر سنوات، لكن تعقيد استغلالها حال دون اكتشاف خطورتها في وقت سابق.

وأصدر فريق تطوير (PHP) تحديثات أمنية عاجلة لمعالجة الثغرتين شملت الإصدارات (8.5.12) و(8.4.27) و(8.3.36) و(8.2.35)، ودعا التقرير المؤسسات وأصحاب المواقع إلى تثبيت هذه التحديثات فوراً، محذراً من أن الإجراءات الوقائية المؤقتة لا توفر حماية كاملة.