فريق أمان PHP يحدد موعد إصدار يصلح ثغرتين بدرجة 9.2 دون الكشف عن أي تفاصيل
نشر Jakub Zelenka، نيابة عن فريق أمان PHP، إعلانًا قصيرًا على قائمة externals.io في 20 أكتوبر 2026. يقول الإعلان إن إصدارًا أمنيًا سيصدر يوم الأربعاء 21 أكتوبر 2026 في الساعة 14:00 بتوقيت UTC، أي 17:00 بتوقيت القاهرة والرياض و18:00 بتوقيت الإمارات، وإنه يصلح ثغرتين حصلت كل منهما على درجة 9.2 على مقياس CVSS 4.0، وهي فئة Critical.
ولم يذكر الإعلان شيئًا آخر. لا الإصدارات المتأثرة، ولا نوع الثغرتين، ولا الجزء الذي تقعان فيه من اللغة. وهذا ليس نقصًا في المصدر، بل سياسة متبعة قبل صدور الـ patch: أي تفصيل يُنشر قبل الإصلاح يفيد المهاجم أكثر مما يفيد المدافع. ويؤكد الإعلان ذلك حين يقول إن الفريق قد يقدّم موعد الإصدار إذا أصبحت تفاصيل أي من الثغرتين علنية، أو إذا ظهر دليل على استغلال فعلي. فالصمت هنا هو الحماية المؤقتة.
ولا يوجد حتى الآن أي وصف منشور لطريقة استغلال الثغرتين، وكل حديث عن ذلك قبل الإصدار تخمين.
وتعتمد على PHP مواقع ومنتجات كثيرة في المنطقة، من WordPress إلى تطبيقات Laravel. وأصحابها لا يستطيعون معرفة إن كانوا متأثرين حتى يصدر التحديث. لذلك يصبح السؤال الفعلي في يوم كهذا عن سرعة الفريق في تطبيق تحديث يجب أن يصل في اليوم نفسه، لا عن رقم الخطورة.
أما المواقع القائمة على استضافة مشتركة، فقرار التحديث ليس بيد أصحابها، بل بيد مزوّد الاستضافة، وتوقيت وصول الإصلاح إليها يتحدد هناك.