تم الكشف عن ثغرتين حرجتين في PHP في 21 أكتوبر 2026. تم تقييم هذه الثغرات بدرجة 9.2 من 10 على مقياس CVSS v4.0 لشدة الثغرات، مما يشير إلى مستوى عالٍ من الخطورة.

تسمح الثغرات بتنفيذ التعليمات البرمجية عن بُعد دون مصادقة، مما يشكل مخاطر كبيرة على الأنظمة التي تستخدم PHP. يُستخدم PHP على نطاق واسع، حيث يشغل حوالي 70% من المواقع الإلكترونية التي يمكن تحديد لغة برمجتها.

أصدرت فريق PHP إصدارات مصححة 8.5.12، 8.4.27، 8.3.36، و8.2.35 لمعالجة هذه الثغرات. تُحث المنظمات على تطبيق هذه التحديثات فوراً أو إيقاف الخدمات المتأثرة لمنع الاستغلال.

تم الإبلاغ بالفعل عن هجمات مبكرة تستغل هذه الثغرات. لاحظت Cloudflare زيادة سريعة في محاولات الاستغلال بعد الكشف العلني عن الثغرات.

حددت فريق الاستجابة لحالات الطوارئ الإلكترونية في كولومبيا 8,699 خدمة متصلة بالإنترنت تستخدم PHP. وقد حدثت تحديثات طارئة وإيقاف للخدمات عبر قطاعات مختلفة، بما في ذلك مواقع حكومية في أوروبا وكولومبيا.