قال المدير التقني في Cloudflare، Dane Knecht، في منشور على X في 21 أكتوبر 2026 إن الشركة ترصد هجمات مبكرة بدأت بالظهور على ثغرتي PHP الحرجتين، وإن مواقع PHP خلف Cloudflare لديها مجموعة أولية من قواعد جدار حماية تطبيقات الويب (WAF) لمسارات الاستغلال المعروفة. وتأتي هذه الهجمات قبل صدور الإصلاح الذي حددت PHP موعده الساعة 14:00 بالتوقيت العالمي، أي 5:00 مساءً بتوقيت الرياض.
وقال Knecht إن القواعد متاحة لكل عملاء Cloudflare بمن فيهم أصحاب الباقة المجانية، وإن الشركة تعدل الحماية كلما ظهرت مسارات هجوم جديدة. والقواعد تخص مواقع PHP التي تعمل خلف Cloudflare وحدها، ونشر Knecht منشوره قبل نحو ست ساعات من موعد الإصدار. ووصفها بأنها حل مؤقت فقط (STOPGAP)، ودعا إلى تثبيت التحديث فور إصدار PHP له. وفي منشور آخر طلب من العملاء المدفوعين التأكد من أنهم لم يعطلوا WAF، ولم يضعوا القواعد الجديدة في وضع السجل فقط. ولم يذكر تفاصيل الهجمات ولا حجمها.
وكانت PHP قد أعلنت في 20 أكتوبر أنها ستصدر إصداراً أمنياً يعالج ثغرتين حرجتين، تقييم كل منهما 9.2 على مقياس CVSS v4.0، ودعت المستخدمين إلى الاستعداد للترقية. وأبقت لنفسها حق الإصدار في وقت أبكر إذا انكشفت تفاصيل أي منهما أو ظهر دليل على استغلال فعلي. وتنشر PHP الإصدارات المتأثرة والمصلحة مع الإصدار نفسه، ولم تعلنها حتى الآن.
وفي هولندا قال المركز الوطني للأمن السيبراني (NCSC) إنه لم يرصد استغلالاً فعلياً للثغرة بعد، ودعا إلى تحديث PHP في أقرب وقت، محذراً من أن أي نظام يحتوي على PHP ويمكن الوصول إليه من الإنترنت يعتقد أنه عرضة للثغرة حتى ذلك الحين. وتأثرت مواقع وأنظمة هولندية أخرى، منها موقع مجلس النواب الهولندي (Tweede Kamer) وإدارة اشتراكات صحف DPG Media، وأوقفت وكالة الأنباء ANP أنظمتها احترازياً.
ويبقى الإصلاح الكامل مرهوناً بصدور إصدار PHP الأمني اليوم الساعة 5:00 مساءً بتوقيت الرياض، وهو ما تدعو Cloudflare عملاءها إلى تثبيته فور صدوره. وتقول PHP إنها تنشر مع هذا الإصدار تفاصيل الثغرتين والإصدارات المتأثرة والمصلحة.
