أصدر فريق PHP اليوم الأربعاء 21 أكتوبر 2026 تحديثات أمنية عاجلة لمعالجة ثغرتين وصفهما بالحرجتين، يمكن أن تسمحا لمهاجم بتنفيذ أوامر على الخادم دون تسجيل دخول. وتشمل التحديثات الإصدارات PHP 8.5.12 و8.4.27 و8.3.36 و8.2.35.
ما الثغرتان؟
الأولى CVE-2026-109618، وتتعلق بتلف الذاكرة عند نفاد الذاكرة أثناء معالجة الطلب. بحسب PHP، قد تتوقف العملية والبيانات الداخلية للطلب نصف مهيأة، ثم تعامل خطوة التنظيف هذه البيانات على أنها سليمة.
والثانية CVE-2026-109619، وفيها يبقى جزء من حالة الطلب مرتبطًا بذاكرة تم تحريرها، فيستخدمه طلب لاحق على نفس العملية قبل أن تُعاد تهيئته.
وصنّف PHP كلًا منهما 9.2 على مقياس CVSS v4.0. وكانت أرقام متداولة قبل الإعلان تتحدث عن تصنيف 10.0، وقالت مؤسسة PHP إن هذا الرقم غير صحيح وإن التصنيف الفعلي 9.2.
من المتأثر؟
بحسب PHP، يشمل الخطر جميع تثبيتات PHP التي تخدم طلبات الويب، ومنها PHP-FPM وApache مع mod_php وphp-cgi وFrankenPHP وLiteSpeed، ويرى الفريق أن الخطر الأعلى مع mod_php.
وقالت مؤسسة PHP إن تنفيذ الأوامر عن بُعد جرى إثباته على Apache مع mod_php بإعدادات افتراضية، وتأكد أيضًا على PHP-FPM عبر مسارات في كود التطبيقات.
وأفاد المركز الوطني للأمن السيبراني في بريطانيا (NCSC) بأن المنظمات التي تستخدم أي إصدار من PHP معنية، ودعاها إلى حصر الأنظمة التي تعمل بـ PHP وإعطاء الأولوية للمتصلة بالإنترنت، وإلى الانتباه للمنتجات التي تتضمن PHP ضمن مكوناتها.
أما شركة Datadog، التي أعادت إنتاج الثغرتين، فقالت إن مصادقة التطبيق لا تمنع الهجوم لأن PHP يعالج الطلب الخبيث قبل تنفيذ أي كود للتطبيق، وإن أي سكربت PHP يمر بالمسار الضعيف حتى لو كان يطبع ردًا فقط.
ما الإصدارات المصححة؟
- PHP 8.5.12
- PHP 8.4.27
- PHP 8.3.36
- PHP 8.2.35
الإصدارات 8.1 وما قبلها لم تعد تتلقى تحديثات من مشروع PHP. لكن فريق الأمن نشر نسخًا مصححة مبسّطة من الشيفرة المصدرية لـ PHP 7.4 و8.0 و8.1 لمن يبني من المصدر أو لا يملك مزوّد دعم.
وأشار PHP إلى أن بعض توزيعات لينكس ومزوّدي الدعم طويل الأمد قدّموا إصلاحاتهم الخاصة، وعلى المستخدم مراجعة مزوّده.
هل هناك استغلال فعلي؟
قبل صدور التحديثات قال باحثو watchTowr لموقع BleepingComputer إنهم لم يرصدوا استغلالًا. وبعد الإصدار، نقل موقع Tenable أن Cloudflare تتحدث عن هجمات مبكرة وأن watchTowr تتحدث عن محاولات استغلال ضد الثغرتين.
وذكرت مؤسسة PHP أن فيديو نُشر عن طريق الخطأ من إحدى الشركات التي أبلغت عن الثغرات أظهر تجربة هجوم، وأن ذلك سرّع ظهور أدوات استغلال تجريبية.
كيف جرى الإفصاح؟
بحسب مؤسسة PHP، تسرّب رمزا الثغرتين على الإنترنت يوم 20 أكتوبر قبل الموعد المقرر، فقدّم المشروع إعلانه المسبق ونقل موعد الإصدار إلى 21 أكتوبر.
ماذا يفعل المستخدمون؟
قال PHP إنه لا توجد حلول تخفيف كاملة، وإن التحديث هو الخيار الآمن الوحيد، وإن إجراءات التخفيف المؤقتة تقلل التعرض لبعض المسارات ولا تجعل التثبيت آمنًا. وأكدت Datadog أن بعض الحلول المتداولة لا تحمي بالكامل.
ويُنصح بالرجوع إلى مزوّد الاستضافة أو توزيعة النظام لمعرفة الحزم المحدّثة، وإلى صفحة الإعلان الرسمي على php.net للتفاصيل.
المصادر
PHP:
https://www.php.net/archive/2026.php
مؤسسة PHP:
المركز الوطني للأمن السيبراني البريطاني:
https://www.ncsc.gov.uk/news/critical-security-issue-affecting-php
BleepingComputer:
Datadog Security Labs:
https://securitylabs.datadoghq.com/articles/php2shell-critical-vulnerabilities-in-php/
Tenable:
