كُشف عن ثغرة خطيرة في كل مواقع WordPress‏ حول العالم، ولهذا بالذات يحتاج عملكم إلى وكيل ذكاء اصطناعي

في 21 أكتوبر 2026 كُشف عن ثغرة خطيرة تمسّ كل موقع WordPress‏ في العالم. لكنها ليست في WordPress‏ نفسه، بل في PHP‏، البرنامج الذي يعمل عليه كل موقع WordPress‏. يوم الكشف عنها كان كل إصدار من PHP‏ تقريبًا، من 5.4 فما فوق، معرّضًا لها، بما في ذلك كل الإصدارات التي يدعمها WordPress‏. الثغرة، التي أُطلق عليها اسم PHP2Shell‏، تتيح للمهاجم تشغيل شيفرة برمجية على خادم الموقع، بلا اسم مستخدم ولا كلمة مرور. في هذا المقال نشرح ما حدث، وكيف تتحققون إن كان موقعكم لا يزال مكشوفًا، وما الذي كان وكيل ذكاء اصطناعي متصل بالموقع سيفعله من أجلكم قبل أن تعرفوا أصلًا أن هناك مشكلة.

ما هي PHP2Shell‏، بلغة بسيطة

تخيّلوا موقعكم سيارة. WordPress‏ والقالب والإضافات هي الهيكل ولوحة القيادة والمقاعد: ما تراه العين. أما PHP‏ فهي المحرك تحت الغطاء. في كل مرة يدخل فيها أحد إلى الموقع، تشغّل PHP‏ الشيفرة وتبني له الصفحة.

PHP2Shell‏ عطل في المحرك نفسه. يرسل المهاجم إلى الموقع طلبًا واحدًا مصممًا خصيصًا، فيترك ذاكرة PHP‏ في حالة معطوبة، ومن هذه الحالة يمكن تشغيل شيفرة على الخادم. وبحسب إعلان PHP‏، يمكن أن ينجح الهجوم في التثبيتات من نوع mod_php‏ حتى قبل أن تبدأ شيفرة الموقع بالعمل. أي أنه لا يهم مدى تحديث WordPress‏ لديكم، ولا أي إضافة أمان ثبّتّم، لأن المحرك يُخترق قبل أن يبدأ أيٌّ منهما عمله.

وماذا يفعل مهاجم بخادم يسيطر عليه؟ يزرع شيفرة خبيثة في الموقع، أو يسرق بيانات العملاء، أو يستخدم الخادم لإرسال الرسائل المزعجة، أو يعطّله ببساطة. وبحسب The Hacker News‏، تتيح الثغرة أيضًا قراءة ذاكرة الخادم، وقد تكون فيها كلمات مرور ومفاتيح API‏ وبيانات دفع تخص طلبات أخرى. وكل ذلك حتى دون السيطرة على الخادم.

المصادر: W3Techs‏ (23 أكتوبر 2026)، والإعلان الأمني من PHP‏ (CVSS v4.0‏)، وHelp Net Security‏ نقلًا عن بيانات Amazon Threat Intelligence‏.

لماذا هذه المرة أخطر من أي ثغرة عادية

تُكتشف الثغرات كل أسبوع. معظمها في إضافة بعينها أو قالب بعينه، ولا تضر إلا من يستخدمه. أما PHP2Shell‏ فتختلف في أربعة أمور:

1. إنها في الأساس، لا في إضافة. بحسب PHP‏، يتأثر كل تثبيت يخدم مواقع: PHP-FPM‏ وApache وLiteSpeed وغيرها. والشيفرة المعيبة موجودة في PHP‏ منذ أكثر من عقد.
2. لا حاجة إلى كلمة مرور. لا يلزم حساب في الموقع، ولا نموذج معيّن، ولا إضافة ضعيفة. يكفي طلب واحد من الخارج.
3. المهاجمون سبقوا الإصلاح. سجّلت Amazon‏ محاولة استغلال في 17 أكتوبر، قبل الإعلان بأربعة أيام. تسرّبت التفاصيل قبل الموعد، فقدّمت PHP‏ موعد الإصلاح يومًا واحدًا. وفي يوم الإعلان نفسه، أفادت شركة watchTowr‏ بمحاولات استغلال نشطة خلال ساعات.
4. الذكاء الاصطناعي اختصر الطريق إلى الاختراق. بحسب The Hacker News‏، قال الباحثون الذين اكتشفوا الثغرتين (Wiz‏ وCalif وفريق Codex Security‏ في OpenAI‏) إن نماذج الذكاء الاصطناعي ساعدتهم على تحويل الخلل إلى هجوم يعمل فعلًا. أنجز باحث واحد في أسبوع عملًا كان سيستغرق من فريق أشهرًا. والمهاجمون يستخدمون الأدوات نفسها.

وهناك مشكلة أخرى، أقل ضجيجًا. حتى بعد صدور الإصلاح، لن يصل إلى مواقع كثيرة:

نحو ثلث مواقع PHP‏ تعمل على الإصدار 7 أو 5، ومعظم أصحابها لا يعرفون ذلك. بُني الموقع قبل خمس أو ثماني سنوات، وهو يعمل، ولم يقترب أحد من المحرك منذ ذلك الحين.

حدّثت WordPress‏. ألا يكفي ذلك؟

لا. هذا هو الخطأ الأكثر شيوعًا الذي سنراه في الأيام المقبلة، وThe Hacker News‏ تنبّه إليه صراحةً: تحديث تطبيق مثل WordPress‏ لا يحدّث PHP‏. فـ PHP‏ تأتي من شركة الاستضافة، أو من الخادم، أو من ملف تثبيت الخادم.

الخبر الجيد أن بعض شركات الاستضافة تولّت الأمر بالفعل. SiteGround‏ مثلًا كتبت أن عملاءها محميون ولا يحتاجون إلى فعل أي شيء. لكن هذا لا ينطبق على كل شركة، ولا ينطبق بالتأكيد على خادم خاص أو VPS‏ أعدّه لكم أحدهم قبل سنوات ثم نسيه.

كيف تعرفون إن كان موقعكم مكشوفًا لثغرة PHP‏

مرّوا على القائمة. تستغرق نحو ربع ساعة، ولا تحتاج إلى أي معرفة بالبرمجة.

إن وضعتم علامة على كل البنود، فوضعكم جيد. وإن تعثّرتم عند البند الأول، فهذه بالضبط الحالة التي كتبنا من أجلها بقية المقال.

كيف كان وكيل الذكاء الاصطناعي سيتعامل مع PHP2Shell‏ دون أن تحتاجوا إلى معرفة ما هي PHP‏

معظم أصحاب الأعمال لا يقرؤون تنبيهات CISA‏. ولا يعرفون أي إصدار من PHP‏ يعمل لديهم، ولا سبب يدعوهم إلى معرفته. صاحبة العيادة مهمتها أن تعتني بمرضاها، لا بمحرك الموقع.

أما وكيل الذكاء الاصطناعي المتصل بالموقع والخادم وحساب الاستضافة فيعمل بطريقة مختلفة. هو يعرف مسبقًا ما الذي يعمل لديكم، فلا يحتاج حين تظهر ثغرة إلى البحث من الصفر. هكذا يبدو الأمر يوم الإعلان، في مثال توضيحي:

لاحظوا ما فعلته صاحبة العمل في القصة كلها: قرأت رسالتين وردّت بجملة واحدة. لم تتعلم ما هي PHP‏، ولم تبحث عن أدلة إرشادية، ولم تنتظر أن يتفرغ لها مختص في الأسبوع المقبل.

ما يفعله الوكيل وحده وما ينتظر الموافقة

يُحدَّد هذا مسبقًا، مرة واحدة. وهذا الإعداد الذي نوصي به لتحديثات PHP‏:

أي إن كان موقعكم يعمل على PHP 8.3.30‏، وكنتم قد وافقتم مسبقًا على الإصلاحات الأمنية داخل الإصدار نفسه، لكان الوكيل حدّثه إلى 8.3.36 دون أن يسأل. ولوصلتكم بعدها رسالة واحدة: «ظهرت ثغرة حرجة، وتم تحديث الموقع، وفُحص كل شيء». هذا بالضبط السيناريو الذي يكون فيه الموقع محميًا قبل أن يسمع صاحب العمل بكلمة PHP‏ أصلًا.

أين لا يكفي الوكيل

• في الاستضافة المشتركة دون وصول إلى الخادم، لا يستطيع الوكيل تحديث PHP‏ بنفسه. لكنه يستطيع أن يفحص، وأن يغيّر الإصدار من اللوحة إن كان لديه وصول إليها، وأن يراسل شركة الاستضافة بالسؤال الدقيق. وهذا يظل أكثر بكثير مما يحدث اليوم في معظم الأعمال.
• الموقع القديم جدًا على PHP 5‏، بشيفرة كُتبت خصيصًا له، قد يحتاج أحيانًا إلى إعادة كتابة جزئية. سيكتشف الوكيل ذلك ويحدد ما الذي سيتعطل، لكنه عمل أيام، لا عمل ليلة واحدة.
• الوكيل لا يغني عن استضافة جيدة. شركة الاستضافة التي تُصلح بنفسها هي خط الدفاع الأول. والوكيل هو من يتأكد أن ذلك حدث فعلًا.

رأينا: كل عمل لديه موقع سيحتاج إلى وكيل يتولى هذا

لن تكون PHP2Shell‏ آخر ثغرة. ما تغيّر هو الإيقاع.

الثغرة نفسها بقيت في الشيفرة أكثر من عقد. والذي اختصر الطريق من خلل برمجي إلى هجوم يعمل هو الذكاء الاصطناعي. فمن جهة، استعان الباحثون الذين اكتشفوها بالنماذج. ومن جهة أخرى، ظهرت محاولات الاستغلال قبل الإعلان الرسمي. وحين يُبنى الهجوم في أسبوع وينتشر في ساعات، فإن صاحب العمل الذي يعرف بالثغرة من خبر يقرؤه بعد أسبوعين يكون قد تأخر.

حتى اليوم كان الحل «شخصًا يتولى صيانة الموقع»: مطوّرًا مستقلًا، أو شركة تصميم مواقع، أو قريبًا يفهم في الحاسوب. نجح ذلك حين كانت لدينا أسابيع للرد. ولا ينجح حين يجب أن يأتي الرد مساء يوم ثلاثاء، والجميع في بيوتهم.

نعتقد أن وكيل الذكاء الاصطناعي المتصل بالعمل سيصبح في السنوات المقبلة أمرًا أساسيًا، مثل المحاسبة. ليس لأن الذكاء الاصطناعي موضة، بل لأن المهاجمين يعملون به بالفعل، والدفاع يجب أن يعمل بالإيقاع نفسه. ووكيل كهذا لا يتولى PHP‏ وحدها. فهو متصل بالموقع وبـ Google‏ وبالحملات وبالمحتوى، ويلاحظ المشكلة في أيٍّ منها. السؤال ليس هل ستحتاجه الأعمال، بل كم ثغرة ستمرّ قبل أن تدرك ذلك.

الأسئلة الشائعة

المصادر

• https‏://www.php.net‏/
• https‏://www.cisa.gov/news-events/alerts/2026/10/21/critical-vulnerabilities-php-require-immediate-patching‏
• https‏://thehackernews.com/2026/10/php-issues-emergency-patches-for-two.html‏
• https‏://www.helpnetsecurity.com/2026/10/21/php2shell-php-vulnerabilities-patched-cve-2026-109618-cve-2026-109619‏/
• https‏://bleepingcomputer.com/news/security/php-ships-emergency-patches-for-critical-php2shell-flaws‏
• https‏://www.siteground.com/blog/critical-php-vulnerabilities-october-2026‏
• https‏://w3techs.com/technologies/details/pl-php‏