# فريق أمان PHP يحدد موعد إصدار يصلح ثغرتين بدرجة 9.2 دون الكشف عن أي تفاصيل

> **المغزى:** المغزى: كل خادم PHP لا يعرف بعد إن كان متأثرًا، وما يُقاس في يوم كهذا ليس خطورة الثغرة بل سرعة الفريق الذي يملك قرار التحديث، وعلى الاستضافة المشتركة لا يملكه صاحب الموقع أصلًا.

- المصدر: المغزى (https://almaghza.com/a/2026-10-21-php-two-critical-vulnerabilities-release/)
- التاريخ: 10 جمادى الأولى - 21 أكتوبر 2026 (2026-10-21)
- القسم: أمن سيبراني
- الوسوم: PHP، الثغرات الأمنية، WordPress، الأمن السيبراني

نشر Jakub Zelenka، نيابة عن فريق أمان PHP، إعلانًا قصيرًا على قائمة externals.io في 20 أكتوبر 2026. يقول الإعلان إن إصدارًا أمنيًا سيصدر يوم الأربعاء 21 أكتوبر 2026 في الساعة 14:00 بتوقيت UTC، أي 17:00 بتوقيت القاهرة والرياض و18:00 بتوقيت الإمارات، وإنه يصلح ثغرتين حصلت كل منهما على درجة 9.2 على مقياس CVSS 4.0، وهي فئة Critical.

ولم يذكر الإعلان شيئًا آخر. لا الإصدارات المتأثرة، ولا نوع الثغرتين، ولا الجزء الذي تقعان فيه من اللغة. وهذا ليس نقصًا في المصدر، بل سياسة متبعة قبل صدور الـ patch: أي تفصيل يُنشر قبل الإصلاح يفيد المهاجم أكثر مما يفيد المدافع. ويؤكد الإعلان ذلك حين يقول إن الفريق قد يقدّم موعد الإصدار إذا أصبحت تفاصيل أي من الثغرتين علنية، أو إذا ظهر دليل على استغلال فعلي. فالصمت هنا هو الحماية المؤقتة.

ولا يوجد حتى الآن أي وصف منشور لطريقة استغلال الثغرتين، وكل حديث عن ذلك قبل الإصدار تخمين.

وتعتمد على PHP مواقع ومنتجات كثيرة في المنطقة، من WordPress إلى تطبيقات Laravel. وأصحابها لا يستطيعون معرفة إن كانوا متأثرين حتى يصدر التحديث. لذلك يصبح السؤال الفعلي في يوم كهذا عن سرعة الفريق في تطبيق تحديث يجب أن يصل في اليوم نفسه، لا عن رقم الخطورة.

أما المواقع القائمة على استضافة مشتركة، فقرار التحديث ليس بيد أصحابها، بل بيد مزوّد الاستضافة، وتوقيت وصول الإصلاح إليها يتحدد هناك.

## المصادر

- [إعلان فريق أمان PHP على externals.io](https://externals.io/message/132883)
- [سجل تغييرات PHP 8 الرسمي](https://www.php.net/ChangeLog-8.php)
- [صفحة إصدارات PHP](https://www.php.net/releases/)
- [مواصفة CVSS 4.0](https://www.first.org/cvss/v4-0/specification-document)