في 21 أكتوبر 2026، أصدرت PHP تصحيحات عاجلة للثغرتين CVE-2026-109618 وCVE-2026-109619، وهما ثغرتان لتنفيذ التعليمات البرمجية عن بُعد تُستغلان بالفعل. ولا تزال ثغرة ثالثة دون تصحيح.
شهد الأسبوع الماضي الكشف عن ثغرتين حرجتين في صميم محرك PHP، أُطلق عليهما اسم PHP2Shell. تسمحان لمهاجم غير مصادق عليه بتنفيذ تعليمات برمجية عن بُعد على خادم ويب، بمجرد إرسال طلبات HTTP مصممة خصيصاً. ولأنهما في PHP نفسه، فإن كتابة شيفرة التطبيق بشكل سليم لا تكفي للحماية منهما.
الثغرتان باختصار
- CVE-2026-109618 (درجة CVSS v4: 9,2): خطأ في معالجة نفاد الذاكرة يمكن إطلاقه بطلبات multipart خبيثة.
- CVE-2026-109619 (درجة CVSS v4: 9,2): استخدام ذاكرة بعد تحريرها (use-after-free) بسبب حالة محفوظة بين طلبين، خاصة عبر خاصية تتبع تقدم رفع الملفات في الجلسة، المفعّلة افتراضياً.
خوادم Apache التي تعمل بـ mod_php هي الأكثر عرضة، لكن PHP-FPM وphp-cgi وFrankenPHP وLiteSpeed معنية أيضاً. ووفق التحليلات المنشورة، يمكن للمهاجم كذلك قراءة ذاكرة عمليات PHP واستخراج كلمات المرور أو الرموز أو المفاتيح منها.
استغلال جارٍ بالفعل
رُصدت محاولات استغلال منذ 21 أكتوبر، يوم نشر التصحيحات. وفي 26 أكتوبر، أضافت الوكالة الأمريكية CISA الثغرتين إلى قائمتها للثغرات المستغلة فعلياً. وعلى سبيل الاحتياط، أوقفت عدة مؤسسات خدماتها عبر الإنترنت مؤقتاً ريثما تُحدّثها، ومنها خدمات عمومية في هولندا.
ما يجب فعله الآن
- تحديث PHP إلى الإصدار 8.5.12 أو 8.4.27 أو 8.3.36 أو 8.2.35، أو إلى حزمة من توزيعة لينكس تذكر الثغرتين، ثم إعادة تشغيل Apache وPHP-FPM وجميع عمليات PHP. تحديث ووردبريس أو أي تطبيق آخر لا يحدّث PHP.
- التخطيط لترحيل الإصدارات القديمة: لم يعد PHP 8.1 والإصدارات الأقدم تتلقى تحديثات رسمية منتظمة، وينتهي دعم PHP 8.2 في 31 ديسمبر 2026.
- في انتظار التصحيح، طبّقوا الإجراءات المؤقتة التي أوصت بها الجهات المختصة: تعطيل
session.upload_progress.enabledفي إعدادات الخادم، وتقييد حجم الطلبات (post_max_size)، وتعطيلfatal_error_backtracesعلى PHP 8.5. تقلل هذه الإجراءات الخطر لكنها لا تغني عن التحديث. - البحث عن علامات الاختراق: طلبات multipart غير معتادة تليها أخطاء في الذاكرة، وأخطاء HTTP 500 متكررة، وملفات تعريف PHPSESSID طويلة بشكل غير طبيعي، وإعادة تشغيل غير مبررة لعمليات PHP.
ثغرة ثالثة ما زالت دون تصحيح
في 23 أكتوبر، أعلنت PHP عن ثغرة أخرى، CVE-2026-115560، مرتبطة بتسلسل الجلسات وتتبع تقدم رفع الملفات. ولا تصححها إصدارات 21 أكتوبر. لا تمس سوى بعض الإعدادات، لكن الحماية بسيطة: تعطيل session.upload_progress.enabled على مستوى الخادم، ثم إعادة تشغيل عمليات PHP.
كيف يمكن لـ 2SC-TECH مساعدتكم
يمكن لفرق الأمن السيبراني لدينا جرد خوادم PHP لديكم، وتطبيق التصحيحات والإجراءات المؤقتة، ثم التحقق من عدم وجود اختراق. تواصلوا معنا لتدخل سريع، عن بُعد أو في الموقع.
الخبرة المرتبطة: الأمن السيبراني
