فريق PHP ينشر إجراءات تخفيف لثغرة RCE بلا إصلاح بعد
الثغرة CVE-2026-115560 تُستغل فقط عند تفعيل session.serialize_handler بالقيمة php_binary أو php_serialize ثم تبديلها إلى php.
نشر فريق أمان PHP إجراءات تخفيف لثغرة تنفيذ تعليمات برمجية عن بُعد تُعرف بالرمز CVE-2026-115560، ولا يتوفر لها إصلاح حتى الآن، حسب ما أفادت به bleepingcomputer.com. وأوضح الفريق أن الإرشاد الكامل الخاص بالثغرة سيُنشر مع الإصدار المقبل.
وقال فريق PHP إن الثغرة لا يمكن استغلالها إلا على الأنظمة التي يكون فيها الإعداد session.serialize_handler مضبوطًا على php_binary أو php_serialize، ثم يُبدَّل وقت التشغيل إلى php عبر ini_set() قبل session_start()، مع تفعيل session upload progress.
وحتى صدور الإصلاح، يوصي مطوّرو PHP بضبط session.upload_progress.enabled=0.
محاولات استغلال لثغرات PHP2Shell
يأتي ذلك بعد أن أصدر فريق أمان PHP إصلاحات لثغرات PHP2Shell، المتابعة بالرمزين CVE-2026-109618 وCVE-2026-109619، يوم الأربعاء. وقال باحثون في Amazon Threat Intelligence إن المهاجمين بدأوا استهداف ثغرات PHP2Shell قبل أربعة أيام من إصدار الإصلاحات.
ورصدت عدة شركات أمن سيبراني محاولات استغلال غير ناجحة قبل الكشف العلني. وأفاد فريق TRACE في Dataminr بأن النشاط اقتصر على المسح وتحديد البصمات ومحاولات استغلال غير عاملة، دون تسجيل اختراقات معروفة.
وتُستخدم لغة PHP مفتوحة المصدر في نحو 70% من المواقع على الإنترنت، وفق ما ورد في السياق السابق. وتشير تقديرات VirusTotal إلى أن أكثر من 5.1 ملايين خادم PHP مكشوفة على الإنترنت، وأن نحو 3.8 ملايين منها لديها منفذ واحد على الأقل مفتوح أمام الهجمات.
أسئلة سريعة
هل توجد إصلاحات لثغرة CVE-2026-115560؟
لا، لم يصدر إصلاح بعد. نشر فريق أمان PHP إجراءات تخفيف فقط، وقال إن الإرشاد الكامل سيُنشر مع الإصدار المقبل.
ما التوصية المؤقتة لحين صدور الإصلاح؟
يوصي مطوّرو PHP بضبط session.upload_progress.enabled=0.
ما هي ثغرات PHP2Shell ومتى تم إصلاحها؟
هي ثغرتان حرجتان لتنفيذ تعليمات برمجية عن بُعد تُتابعان بالرمزين CVE-2026-109618 وCVE-2026-109619، وأصدر فريق أمان PHP إصلاحاتهما يوم الأربعاء.