ورقة بحثية: الموديلات كسرت ملفات PHP قديمة كانت تعمل أثناء تحديثها إلى PHP 8.3
المغزى: درجة التحديث تقيس شكل الكود الجديد لا بقاء سلوكه، وفي أغلب الملفات كان خيار عدم فعل شيء أكثر أمانًا من أي موديل.
تحليل لاستغلال php2shell: المواقع الصغيرة والأدوات الداخلية أكثر عرضة من المواقع المزدحمة
المغزى: الخدمة الداخلية الصغيرة التي يُؤجَّل تحديثها عادة هي التي تتقدم قائمة الخطر في هذه الثغرة، والتحديث يبقى الإجراء الأهم، لكن ترتيب الأولويات تغيّر.
إصلاح ثغرتي PHP يصدر بعد تأخر منذ 2024، والذكاء الاصطناعي خفّض كلفة استغلالهما
المغزى: عبارة «صعبة الاستغلال» لم تعد حماية كافية، فحين تصبح الموديلات قادرة على تكييف الهجوم على تطبيقات عدة في ساعات، يصبح التأخير في الإصلاح هو الثغرة الحقيقية.
فريق أمان PHP يحدد موعد إصدار يصلح ثغرتين بدرجة 9.2 دون الكشف عن أي تفاصيل
المغزى: كل خادم PHP لا يعرف بعد إن كان متأثرًا، وما يُقاس في يوم كهذا ليس خطورة الثغرة بل سرعة الفريق الذي يملك قرار التحديث، وعلى الاستضافة المشتركة لا يملكه صاحب الموقع أصلًا.
حل مؤقت من 174 سطر PHP كُتب عام 2014 ثُبّت 20 مليون مرة، وصاحبه يعلن إيقافه
كود لم يثبّته فريق بنفسه قد يكون موجودًا في مشروعه عبر حزمة أخرى أو إضافة قديمة، ومعه خلل بقي سنوات دون أن يلاحظه أحد.
ثغرة StyleSmuggler غير المرقّعة في Magento وAdobe Commerce تُستغل منذ 4 سبتمبر 2026
الخلل ليس في إضافة يمكن حذفها بل في نواة المنصة نفسها، فكل متجر على النسخ الحالية مكشوف حتى يصدر إصلاح لم يتأكد موعده بعد.
ثغرة XSS2Shell في WordPress تصل من شاشة الدخول إلى تنفيذ كود PHP، والإصلاح في 7.0.3
الثغرة لم تنشأ من أداة تنقية فاشلة، بل من أداتين تقرآن النص نفسه بقاعدتين مختلفتين، والفرق بين القراءتين هو الثغرة.
نشر استغلال عام لثغرة vBulletin CVE-2026-61511 التي تنفّذ كود PHP دون تسجيل دخول
الفلترة قبل تنفيذ نص كأنه كود تفترض معرفة كل الطرق التي تعبّر بها اللغة عن قيمة ما، وهو افتراض يسقط دائمًا؛ فالحل أن لا تصل مدخلات المستخدم إلى التنفيذ أصلًا.