أعلن فريق أمن PHP في 20 أكتوبر 2026 أنه سيصدر في 21 أكتوبر الساعة 14:00 بالتوقيت العالمي، أي 5:00 مساءً بتوقيت الرياض، إصداراً أمنياً يعالج ثغرتين حرجتين، تقييم كل منهما 9.2 بحسب مقياس CVSS v4.0. ودعا الفريق جميع مستخدمي PHP إلى الاستعداد من الآن حتى يتمكنوا من الترقية فور توفر الإصدار.
ولم يكشف الإعلان عن تفاصيل الثغرتين ولا الإصدارات المتأثرة ولا أرقام الإصدارات المصلحة، وقال الفريق إنها ستنشر مع الإصدار نفسه. كما أبقى لنفسه حق الإصدار في وقت أبكر إذا انكشفت تفاصيل أي من الثغرتين، أو ظهر دليل على استغلالها فعلياً. ولم يذكر الإعلان أي معرف CVE، ولا حلاً مؤقتاً يمكن تطبيقه قبل الإصدار.
وفي اليوم نفسه، قالت شركة watchTowr للأمن السيبراني في منشور على X إن معلومات عن ثغرات تنفيذ أوامر عن بعد في PHP، كانت خاضعة لحظر النشر، قد تسربت، وإنها حقيقية. وكتبت الشركة: “We were all supposed to wait until Thursday at 11am ET”. وأشارت إلى معرفين هما CVE-2026-109618 وCVE-2026-109619، وكتبت السنة فيهما في منشورها 2926 خطأً. وقالت إنها لا تستطيع مشاركة مزيد من المعلومات الآن، ودعت إلى أخذ الأمر بجدية وتثبيت التحديثات عند توفرها.
وقال الرئيس التنفيذي لـ watchTowr، Benjamin Harris، في تصريح نقله موقع BleepingComputer، إن تقييم كل منهما 10.0، وإنهما تمسان إصدارات PHP من 5 إلى 8 بحسب ما هو معروف لديهم. وقال: “we can confirm that these vulnerabilities are indeed real”. وتعتقد الشركة أنها أعادت إنتاج إحداهما، CVE-2026-109618، ولن تنشر تفاصيل تقنية قبل صدور الإصلاحات. ويختلف هذا التقييم عن تقييم PHP الرسمي البالغ 9.2، ولم تؤكد PHP أي إصدارات متأثرة بعد.
لم يتم رصد استغلال فعلي حتى الآن. وينصح الخبراء المسؤولين بجرد الخوادم والتطبيقات التي تعمل بـ PHP، وتجهيز آلية تحديث سريعة، ومتابعة قنوات PHP الرسمية، وتثبيت الإصدار المصلح فور صدوره.
وتختلف الروايات المتداولة في موعد الكشف المسرب. فمنها من يدعي أن الإعلان مقرر في 22 أكتوبر الساعة 18:00 بتوقيت وسط أوروبا، بينما حدد إعلان PHP الرسمي موعداً أسبق في 21 أكتوبر.
وتبقى الإصدارات المتأثرة وأرقام الإصلاح ومعرفات CVE الرسمية، إن وجدت، بانتظار ما ينشره فريق PHP مع الإصدار في الموعد المعلن.
