الإنترنت على حافة 9.2: كيف حوّلت ثغرتا PHP مسودة إسرائيلية إلى هامش»

تحقيق صحفي: طموح إسرائيل في الاندماج النووي… وأزمة سيبرانية عالمية كشفها الذكاء الاصطناعي

 

الخلاصة: في الفترة من 21 إلى 22 أكتوبر 2026، برز حدثان تقنيان متزامنان يكشفان عن توتر عميق في حوكمة التقنية. الأول: نشرت وزارة الطاقة والبنية التحتية الإسرائيلية استراتيجية وطنية طموحة للاندماج النووي، تسعى من خلالها إلى دخول سلسلة التوريد العالمية باستثمارات تصل إلى 20 مليار شيكل — لكن الوثيقة حتى الآن تقرير استراتيجي مطروح للتعليق العام، وليست قراراً حكومياً نافذاً. الثاني: ثغرتان خطيرتان في لغة PHP (بتقييم 9.2) اكتشفتهما أدوات ذكاء اصطناعي، دفعت حكومات عدة دول إلى إغلاق مواقعها طوعاً كإجراء وقائي، وليس بسبب تعطّلها جراء هجوم. وقد جرى التحقق من الوقائع الأساسية للحدثين عبر مصادر متعددة، مع تصحيح جوهري لعبارة “التعطّل” الواردة في الصياغة الأصلية.

 

أولاً: رهان إسرائيل على الاندماج النووي — ثلاثة مسارات ووعد لم يتحقق بعد

 

الطبيعة الحقيقية للتقرير

 

أكدت صحيفتا جيروزاليم بوست وتايمز أوف إسرائيل أن وزارة الطاقة والبنية التحتية نشرت التقرير في 22 أكتوبر (الخميس)، ووصفته بأنه وثيقة “مطروحة للتعليق العام”. وأوضحت تايمز أوف إسرائيل أن التقرير أعدّه قسم السياسات ومكتب كبير العلماء في الوزارة، وأنه “أول إطار وطني إسرائيلي” للاندماج النووي، يهدف إلى وضع البلاد كمشارك رئيسي في القطاع الناشئ عالمياً.

 

وهذا يعني أن المقترحات لم تصبح سياسة حكومية بعد. فإسرائيل مقبلة على انتخابات في 27 أكتوبر، ما يجعل مستقبل الاستراتيجية محفوفاً بعدم اليقين السياسي. وقد وصفت رابطة صناعة الاندماج النووي (Fusion Industry Association) الوثيقة independently بأنها “إطار لقرارات حكومية مستقبلية”، وليست خطة معتمدة.

 

تفاصيل المسارات الثلاثة

 

وفقاً لما نشرته جيروزاليم بوست وتايمز أوف إسرائيل:

 

المسار الأساسي: 50 إلى 100 مليون شيكل (نحو 13 إلى 27 مليون دولار)، على مدى خمس سنوات، لتوسيع البحث الأكاديمي في الاندماج النووي والمنح الدراسية وتدريب الكوادر.

 

مسار البنية التحتية: 500 مليون إلى مليار شيكل (بحد أقصى نحو 322 مليون دولار)، على مدى خمس إلى سبع سنوات، لبناء بنية تحتية بحثية وتعزيز الشراكات بين القطاعين العام والخاص، وفتح المرافق الوطنية (مثل مسرّع الجسيمات SARAF في سوريك) أمام الصناعة.

 

المسار الشامل: مليار إلى 2 مليار شيكل (بحد أقصى نحو 647 مليون دولار)، على مدى سبع إلى عشر سنوات، ويشمل إنشاء هيئة تنسيق وطنية، وتطوير مرافق بحثية كبيرة، وإعداد برامج تدريب أكاديمي، ودراسة إمكانية بناء مفاعل اندماجي تجريبي في إسرائيل عبر التعاون الدولي.

 

البيانات المستند إليها وأوراق القوة الإسرائيلية

 

تشير بيانات التقرير إلى أن الاستثمار الخاص العالمي في صناعة الاندماج النووي تجاوز 14 مليار دولار منذ عام 2021، منها نحو 4.5 مليار دولار في العام الماضي وحده؛ ومن المتوقع أن تتصل أولى محطات الاندماج التجارية بالشبكة في ثلاثينيات القرن الحالي، وأن يتشكل سوق عالمي بحجم مئات المليارات من الدولارات بين عامي 2040 و2050. وقد وقّعت شركات مثل مايكروسوفت وجوجل بالفعل اتفاقيات شراء طاقة مع شركات الاندماج النووي.

 

وتتمتع إسرائيل بمزايا نسبية في الليزر عالي الطاقة، والإلكترونيات، وتقنية الترددات الراديوية، والذكاء الاصطناعي والمحاكاة، والمواد المتقدمة، والروبوتات، ما يؤهلها لتكون مورّداً للمكونات والتقنيات الأساسية في هذه السلسلة. وهناك شركات إسرائيلية ناشئة في المجال، من بينها nT-Tao (مفاعلات اندماجية مدمجة) وFusionMantle (مكونات قلب المفاعل).

 

لكن التقرير يعترف صراحة بنقاط ضعف محلية: نقص الكوادر المتخصصة في الفيزياء النووية، وبنية تحتية محدودة للاختبار، وغياب إطار تنظيمي متخصص. وقد نقلت تايمز أوف إسرائيل تحذير المسؤول الكبير في الوزارة شاحار دوليف: “نقف على عتبة فرصة استراتيجية استثنائية” — لكن العتبة تتطلب من إسرائيل “التحرك في السنوات القليلة المقبلة”، وإلا فإن تبلور سلاسل التوريد العالمية والمعايير التقنية سيُغلق الباب أمام الشركات الإسرائيلية لعقود.

 

ثانياً: ثغرتا PHP — أزمة كشفها الذكاء الاصطناعي، و”إغلاق وقائي” وليس تعطّلاً

 

الثغرة نفسها: تقييم 9.2 وتنفيذ تعليمات برمجية عن بعد دون مصادقة

 

أكدت النشرة الأمنية الرسمية لمكتب أمن المعلومات الحكومي السلوفيني (URSIV) أن تقييم الثغرتين CVE-2026-109618 وCVE-2026-109619 وفق نظام CVSS v4.0 هو 9.2، وأنهما تسمحان لمهاجم غير مصادَق عليه بتنفيذ تعليمات برمجية عشوائية بصلاحيات عملية خادم الويب. وأوضحت نشرة TWCERT/CC التايوانية أن CVE-2026-109618 يتعلق بمعالجة غير كافية لنقص الذاكرة تؤدي إلى استخدام ذاكرة غير مهيّأة؛ وأن CVE-2026-109619 يتعلق ببقاء حالة داخلية بعد تحرير الذاكرة تستخدمها طلبات لاحقة. الإصدارات المصلحة: PHP 8.5.12، و8.4.27، و8.3.36، و8.2.35؛ أما PHP 8.1 وما قبله فقد توقف دعمه.

 

كيف اكتُشفت الثغرتان: اختراق “منطقة عمياء” عمرها عشر سنوات

 

نقلت صحيفة الشرق الأوسط (Asharq Al-Awsat) عن BBC أن باحثين في شركتي Calif وWiz، يعتمدون على الذكاء الاصطناعي، اكتشفوا الثغرتين المخفيتين في الشيفرة لأكثر من عشر سنوات دون أن يلاحظها أحد. وقالت OpenAI في مدونتها إن هذه “واحدة من أخطر مشكلات الأمن في الذاكرة الحديثة”، وكشفت أن باحثاً داخلياً لديها اكتشف المشكلة نفسها بشكل مستقل في اليوم ذاته. وأشار إعلان CERT-EU إلى أن التفاصيل التقنية للثغرة تُناقش علناً، وأن نماذج إثبات مفهوم (PoC) بدأت تنتشر، ما يرفع احتمال استغلال المهاجمين لها.

 

الاستجابة العالمية: الإغلاق “وقائي” وليس “تعطّلاً”

 

هذه هي النقطة الأهم التي تستوجب التصحيح في الصياغة الأصلية.

 

ميّز إعلان الوكالة الوطنية للأمن السيبراني في رومانيا (DNSC) بوضوح بين “الإصدار المخطط” و”الاستغلال الفعلي”: فقد أعلن فريق أمن PHP في 20 أكتوبر أنه سيصدر التحديث في 21 أكتوبر، مع احتفاظه بحق الإصدار المبكر في حال تسرب التفاصيل أو ظهور استغلال نشط. وأشار إعلان URSIV السلوفيني إلى أن “بعض مزوّدي الأمن أبلغوا عن محاولات استغلال أولى في 21 أكتوبر، بينما لم يرصد مزوّدون آخرون أي استغلال لدى عملائهم”، وأن “مشروع PHP لم يؤكد أي استغلال”.

 

وقد لخّصت الشرق الأوسط الوضع بدقة: علّقت الحكومة الفنلندية خدماتها الإلكترونية العامة، وأغلقت وكالة الأمن السيبراني الهولندية موقعها الإلكتروني، وتعذّر الوصول إلى موقع البرلمان الهولندي — وهذه “إجراءات وقائية”، لأن السلطات نصحت “المؤسسات التي لا تستطيع تثبيت التحديث بإغلاق مواقعها مؤقتاً”. وقالت مؤسسة ويكيميديا إنها “علّقت عدداً من الأنظمة الأخرى كإجراء وقائي لإصلاحها بأمان”.

 

وأضافت قناة RTSH الألبانية بيانات جوهرية: كشف Matthew Prince، الرئيس التنفيذي لشركة Cloudflare، أن محاولات الاستغلال ارتفعت من آلاف إلى عشرات الآلاف خلال 45 دقيقة من الإعلان، ثم إلى مئات الآلاف خلال ساعتين، و”الآن إلى الملايين”. وأكدت أمازون أن أدواتها الأمنية رصدت أولى محاولات الاختراق في 17 أكتوبر — أي قبل أربعة أيام من الإفصاح العلني. لكن هذه محاولات استهدفت أنظمة مصيدة (honeypot) وأنظمة استكشاف، وليست اختراقات ناجحة لخدمات حكومية.

 

وصنّف المكتب الفيدرالي الألماني لأمن المعلومات (BSI) مستوى التهديد بأنه “مرتفع جداً”، لكن وزير التحول الرقمي كارستن فيلدبرغر صرّح في الوقت ذاته: “بحسب المعلومات المتاحة حالياً، لا توجد مؤشرات على اختراق فعلي للأنظمة الإدارية الفيدرالية”.

 

ثالثاً: قراءة متقاطعة للحدثين

 

يشير الحدثان، اللذان وقعا في الأسبوع نفسه، إلى معضلة حوكمة واحدة.

 

استراتيجية إسرائيل للاندماج النووي هي مبادرة سياسة صناعية محسوبة بعناية، لكنها تحتاج إلى موافقة حكومية لتتحول من “توصية” إلى “استثمار”. وتحذير الوزارة — “يجب التحرك الآن وإلا فاتت النافذة” — هو في جوهره ضغط على صانعي القرار السياسي.

 

أما أزمة ثغرتي PHP فهي حدث أمني سرّعته أدوات الذكاء الاصطناعي. فقد كشفت أدوات الذكاء الاصطناعي عن عيوب لم تكتشفها عمليات التدقيق البشرية لعشر سنوات، لكن الأدوات نفسها قد تمكن المهاجمين من تطوير شيفرة استغلال أسرع. وقد نقلت RTSH تحذير نائب رئيس BSI الألماني توماس كاسبرز: “الاستغلال الواسع النطاق للثغرة قد يصبح ممكناً في غضون ساعات من إصدار التحديث”، لأن المهاجمين يستطيعون استخدام أدوات الذكاء الاصطناعي لتطوير شيفرة الهجوم بسرعة.

 

والقاسم المشترك بين الحدثين هو: الخطر التقني بات ملموساً، لكن الاستجابة المؤسسية لا تزال في مرحلة “التعليق العام” أو “الإغلاق الوقائي”. خطة الاندماج الإسرائيلية تنتظر قراراً سياسياً بعد الانتخابات؛ وأنظمة PHP حول العالم تنتظر تنفيذ أمر تحديث واحد. وفي أثناء الانتظار، فإن “ملايين محاولات الاستغلال” التي سجلتها Cloudflare لن تتوقف.

 

أهم المصادر: جيروزاليم بوست، تايمز أوف إسرائيل، رابطة صناعة الاندماج النووي (Fusion Industry Association)، النشرة الأمنية لمكتب أمن المعلومات الحكومي السلوفيني (URSIV)، نشرة الوكالة الوطنية للأمن السيبراني الرومانية (DNSC)، نشرة TWCERT/CC التايوانية، قناة RTSH الألبانية، صحيفة الشرق الأوسط (نقلاً عن BBC)، إعلان CERT-EU الأمني.