Trust Wallet: لا إجراء مطلوب من المستخدمين بعد ثغرات PHP الحرجة التي سجلت 9.2

Trust Wallet تستبعد PHP من نطاق المخاطر

أصدرت Trust Wallet بيانًا رسميًا مؤكدًا في 22 أكتوبر 2026 أن تطبيقات محفظتها وبنيتها التحتية الأساسية لم تُبنَ على لغة PHP، وأن الثغرات الحرجة التي جرى الإفصاح عنها في تلك اللغة هذا الأسبوع لا تمسها إطلاقًا. وجاء الموقف في بيان رسمي نُشر على X خلال نحو يوم واحد من الإفصاح عن الثغرة، وذلك ردًا على السؤال الذي دار في الأوساط الرقمية بمجرد ظهور الخبر: هل يقع مزود محفظة العملات المشفرة ضمن البيئة المتأثرة؟ الإجابة التي قدمتها الشركة سالبة على الحسنين معًا؛ فتطبيقاتها غير مكتوبة بالتقنية المعنية، وبنيتها التحتية الأساسية لا تعتمد عليها، وبالتالي لا تنطبق الثغرات، كما وُصفت، على الخدمة. ونص البيان المنشور: "إننا على دراية بثغرة الأمان في PHP التي أُفصح عنها مؤخرًا. تطبيقات محافظ Trust Wallet وبنيتها التحتية الأساسية لم تُبنَ على PHP. مستخدمونا غير متأثرين ولا يحتاجون إلى اتخاذ أي إجراء." والتعليمة اللاحقة واضحة تمامًا: لم تطلب الشركة من المستخدمين نقل أموالهم أو إنشاء حسابات جديدة أو إنجاز أي خطوة أمنية إضافية، وقدّمت المنشور على أنه تحديث من نوع المراقبة لا استجابةً لحادث قائم. كما أن طمأنة الشركة ضيقة الحدود عمدًا، وهي من ترسم ذلك الحد بنفسها: البيان يشمل ثغرات PHP المُفصح عنها حديثًا وعلاقتها بتطبيقات الشركة وبنيتها التحتية، ولا يزيد. فهو لا يدّعي أن المحفظة في أمان من كل هجوم، ولا يمتد إلى المنصات الأخرى التي قد يزورها حائز الأصول. ووصل الطمأنة قبل أن يُسجل أي أثر على مستخدمي الشركة، وقدّمت الشركة حجّة المعمارية السبب في عدم توقع أي أثر من الأساس.

ثغرتا CVE-2026-109618 وCVE-2026-109619

الحدث الذي دفع الشركة إلى هذا البيان هو ثغرتان حرجتان في لغة PHP، وهي اللغة التي تعمل على جانب الخادم وتشغّل نصيبًا كبيرًا من مواقع الإنترنت، أُطليت للعلن في 21 أكتوبر 2026. وتُتتبعهما الجهات الأمنية تحت الرقمين CVE-2026-109618 وCVE-2026-109619، وكلتاهما مصنفتان 9.2 من 10 وفق نظام CVSS 4.0، ويسمحان، في ظروف معينة، لمهاجم بتنفيذ شيفرة خبيثة عن بُعد على خادم مصاب. موضع التعرض الفعلي هو خوادم الويب العاملة على PHP لم تطبّق تحديثات الأمان بعد؛ فمنصات مثل WordPress وMagento وتطبيقات PHP الأخرى على إعدادات الخوادم المتأثرة قد تدخل في نطاق الخطر. والإفصاح لا يعني أن كل موقع مبني على PHP قد تعرض لهجوم فعلًا، ولا أن بيانات المستخدمين سُرقت. ويتضح أن فريق تطوير PHP أصدر الإصلاحات في اليوم نفسه، ضمن إصدارات مرقّعة تشمل 8.2.35 و8.3.36 و8.4.27 و8.5.12، على مديري الخوادم التحديث إلى النسخة المرقّعة الخاصة بإصدارهم أو إلى حزمة الأمان التي توزّعها جهة الاستضافة لديهم. وفي هذا السياق، توجيه Trust Wallet لمستخدميها هو أنه لا حاجة إلى أي تبديل للمحافظ أو تحويلات أو حسابات جديدة بسبب هذه الثغرات. لكن الشركة تقرن هذا الطمأنة الكامل باحتياطات دائمة، وهي احتياطات لها وزن لأن المحفظة الساخنة تبقى متصلة بالشبكة، وبعد استبعاد خطر البنية التحتية يقع العبء الأمني بصورة كبيرة على سلوك المستخدم نفسه. فبعد أخبار الأمان الكبرى، تصبح حسابات الدعم المزيفة وسيطًا شائعًا لإقناع الحائزين بنقل أصولهم إلى عنوان محفظة آخر؛ ولا يجوز أبدًا مشاركة عبارة الاسترداد مع أي موقع أو أي شخص يتظاهر بأنه موظف دعم؛ ويستحسن تجنب التطبيقات المشبوهة التي تطلب الاتصال بالمحفظة؛ وتستدعي الموافقات على المعاملات مراجعة دقيقة قبل التوقيع. أما الحيازات طويلة الأجل التي تستدعي عزلًا أقوى فهي مرشح طبيعي لاستخدام المحفظة المادية، ويمكن للقارئ الراغب في هذا المسار الرجوع إلى دليل محفظة Cypherock X1 منّا لمعرفة تفاصيل الإعداد. وتضيف الشركة تنبيهًا أخيرًا: قد تمس ثغرة PHP موقعًا يزوره المستخدم دون أن تلمس تطبيق المحفظة مطلقًا، ولذلك لا يُقرأ البيان على أنه تأكيد أن كل منصات العملات الرقمية في أمان. وتتواصل أيضًا أعمال بحثية أخرى في مكان آخر، إذ لا يزال استغلال DarkSword لأجهزة iPhone موثقًا كتهديد يستهدف مستخدمي Trust Wallet عبر تسعة تطبيقات محافظ.

التصيّد لا PHP هو الخطر المتبقي

قراءتنا أن البيان حسم السؤال الضيق وترك سؤالًا أوسع معلقًا. فالمصدر الأساسي في هذا الحدث، وهو منشور الشركة نفسها، يغطي تطبيقات Trust Wallet وبنيتها التحتية الأساسية فقط؛ أما ما يبقى غير مؤكد فهو ما إذا كانت أي خدمة أخرى مدعومة بـPHP يعتمد عليها حائز الأصول، من مزودي الاستضافة إلى تطبيقات الويب، حملت تعرضًا فعليًا. تمنح الإصدارات المرقّعة مديري الخوادم إصلاحًا ملموسًا، لكن الخوادم غير المرقّعة تظل الخطر المذكور، ولا شيء في السجل حتى الآن يحسم فجوة هذا الجزء. ومن الناحية العملية، يمر مسار الخسارة الأرجح اليوم عبر سلوك المستخدم لا عبر الشيفرة: رسالة تصيّد تستشهد بهذا الخبر الأمني وتطالب بنقل الأصول ستصل إلى الحائزين أسرع من أي استغلال فعلي للثغرة. أما الأسواق فلم تُظهر حتى الآن أي ضائقة يُذكر؛ فبياناتنا الحية ترصد تراجع عملة TWT بنحو 4.7% خلال 24 ساعة، ويمكن لمن يقرأ عناوين الأمان هذه بوصفها أخبار سوق أن يتابع التحليل الفني لعملة TWT لمعرفة السياق مستوى بمستوى.