ثغرات خطيرة في PHP تهدد البنية التحتية لـ Web3
ثغرتان خطيرتان في PHP، وهما CVE-2026-109618 وCVE-2026-109619، حصلتا على درجتي CVSS v4.0 قدرهما 9.2، وقد تتيحان تنفيذ تعليمات برمجية عن بُعد من دون مصادقة على خدمات PHP المتاحة للعامة. رصدت مصائد Amazon الإلكترونية محاولات محتملة للاستغلال منذ 17 أكتوبر، كما تسرّبت تفاصيل الثغرات قبل أن يصدر فريق PHP ترقيعات طارئة في 21 أكتوبر، أي قبل الموعد المحدد.
تؤثر الثغرات في إصدارات PHP من 5.4 إلى 8.5.11. رصدت SlowMist مؤشرات مباشرة على استخدام PHP في 793 نطاقاً من أصل 1,488 نطاقاً مرتبطاً بالعملات المشفرة فحصتها، أي نحو 53.3%؛ وهذا يشير إلى استخدام PHP، لكنه لا يؤكد أن الأنظمة مكشوفة أو مخترقة. قد تشمل بنية Web3 التحتية المعرّضة للخطر مواقع الويب وواجهات API وصفحات الإيردروب ولوحات الإدارة وعمليات الدفع المتكاملة وخدمات المحافظ المستضافة. وقد يؤدي اختراق الخادم إلى كشف بيانات الدخول أو التلاعب بالصفحات لخداع المستخدمين وحملهم على توقيع معاملات ضارة، لكنه لا يخترق مباشرةً العقود الذكية أو المحافظ أو المفاتيح الخاصة.
الإصدارات التي تتضمن الإصلاحات هي PHP 8.2.35 و8.3.36 و8.4.27 و8.5.12. ينبغي للمشاريع الترقية بسرعة، وفحص الأنظمة المكشوفة، وتغيير بيانات الدخول عند الاشتباه في حدوث اختراق. وينبغي نقل PHP 8.1 والإصدارات الأقدم إلى إصدارات لا تزال مدعومة. قد تقلل التدابير المؤقتة بعض مسارات الهجوم، لكن تثبيت الترقيعات هو الحل النهائي. يتعلق الخطر بأمن Web3 خارج السلسلة؛ ولا تثبت التقارير فقدان أصول مشفرة، ولا تبرر سحبها لمجرد وجود هذه الثغرات.
Neutral
تشكل الثغرات الأمنية خطراً تشغيلياً جسيماً على شركات Web3، لكن التقارير لا تحدد أي عملة مشفرة بعينها ولا تقدم دليلاً على وقوع خسائر أو تأثير مباشر على بروتوكولات البلوك تشين. لذلك، لا يوجد أساس واضح للتنبؤ باتجاه سعر أي عملة، ومن المتوقع أن يكون تأثير ذلك على أسعار العملات المشفرة محايداً. على المدى القصير، قد يتعامل المتداولون بحذر مع التنبيهات الأمنية، ويراقبون المنصات المتأثرة ويدققون في طلبات المعاملات. ومن المرجح أن يقتصر أي رد فعل في السوق على الخدمات المتأثرة، بدلاً من أن يؤدي إلى تغير واسع في تقييمات العملات المشفرة. وعلى المدى الأطول، قد يؤدي استغلال الثغرات بنجاح أو تأكيد خسارة أصول إلى إضعاف الثقة بالمشروعات المتأثرة وزيادة ضغوط البيع على رموزها. ومن شأن تطبيق التحديثات سريعاً والاستجابة للحوادث أن يحدّا من هذا الخطر. قد تزيد أخبار الأمن من التقلبات، لكن استخدام PHP وحده لا يثبت أن النظام عرضة للاختراق، كما أن التقارير لا تبرر افتراض تعرض الأموال أو العقود الذكية للاختراق.