الخلاصة

  • حثت Ofcom جميع مزودي الاتصالات ومشغلي الخدمات الأساسية في قطاع البنية التحتية الرقمية على النظر بصورة عاجلة في إرشادات الأمن البريطانية بشأن ثغرتين خطيرتين في PHP.
  • ستتواصل الجهة الرقابية مع الخدمات التي تشرف عليها خلال الأيام والأسابيع المقبلة لفهم معالجة الثغرات في سياق واجباتها التنظيمية.

قد يبدأ الأمر عند مسؤول خادم يبحث عن تحديث، ثم ينتهي في اجتماع يسأل فيه المشرف عن قائمة الأنظمة كلها. في إعلانها الصادر يوم 23 أكتوبر، وجهت Ofcom نداءً إلى مزودي الاتصالات ومشغلي الخدمات الأساسية ضمن البنية التحتية الرقمية للنظر على وجه السرعة في إرشادات المركز الوطني للأمن السيبراني. وأعلنت أنها ستتواصل مع الخدمات الخاضعة لإشرافها في الأيام والأسابيع المقبلة لمعرفة كيف تمضي المعالجة ضمن الواجبات التنظيمية القائمة. صار تحديث برمجي بنداً في حوار تشغيلي أوسع.

حدد تحذير المركز الوطني للأمن السيبراني الثغرتين CVE-2026-109618 وCVE-2026-109619. خللان في إدارة الذاكرة أثناء معالجة الطلبات قد يتيحان، في ظروف معينة، تنفيذ تعليمات عن بُعد من دون مصادقة. قد تظهر PHP في موقع عام، وقد تختبئ أيضاً خلف لوحة إدارة أو خدمة مساندة. لهذا تبدأ الإجابة بجرد مواضع استخدامها؛ أشهر موقع على الشاشة ليس بالضرورة أهم سطر في الجرد.

أصدر مشروع PHP نسخاً مصححة هي 8.5.12 و8.4.27 و8.3.36 و8.2.35. وقد تنقل توزيعات أنظمة التشغيل أو جهات الدعم طويل الأمد التصحيح إلى حزم تحمل أرقاماً أقدم. الرقم الظاهر في أداة فحص النسخة لا يكفي وحده؛ يلزم التحقق من الحزمة ومصدرها والتصحيح الذي وصل إليها فعلاً.

توصي الجهة الأمنية بحصر جميع تثبيتات PHP، وتقديم الأنظمة المكشوفة للإنترنت، ثم تحديثها. وإذا تعذر التحديث سريعاً، تُبحث التدابير المؤقتة الواردة في الإرشاد. وإن تعذر التحديث والتخفيف معاً بالسرعة اللازمة، ينبغي النظر في إيقاف النظام. وعند استحالة التحديث أو التعطيل فوراً، تنصح بفحص مؤشرات الاختراق قبل تنفيذ التغيير. تلك خطوات تتصل باستمرار الخدمة بقدر اتصالها بأمنها.

تتمثل خطوة Ofcom الجديدة في نقل هذا التسلسل إلى حوارها مع قطاع الاتصالات. إعلانها يتحدث عن متابعة قادمة ولا يسمي شركة بعينها أو نتيجة فحص. والسؤال العملي لكل مشغل واضح: أين تعمل PHP، وما الذي صُحح، ومن اتخذ قرار إبقاء أي نظام مكشوف قيد التشغيل؟