PHP تطلق تحديثات أمنية لإصلاح ثغرتين خطيرتين في التنفيذ عن بُعد

أصدر فريق تطوير PHP تحديثات أمنية تعالج ثغرتين خطيرتين تتيحان التنفيذ عن بُعد للأوامر البرمجية، وتحملان المعرفين CVE-2026-109618 وCVE-2026-109619، ويُطلق عليهما اسم PHP2Shell، وفق dailysecu.com. وتبلغ درجة الخطورة لكلتا الثغرتين 9.2 بحسب مقياس CVSS 4.0.

تشمل الإصدارات المصححة PHP 8.2.35 و8.3.36 و8.4.27 و8.5.12. وتحدث الثغرة CVE-2026-109618 أثناء معالجة أخطاء نفاد الذاكرة عند إغلاق الطلب، ويمكن أن تؤدي إلى تنفيذ أوامر عن بُعد. وقد تحقق فريق PHP من إمكانية تنفيذ أوامر برمجية دون مصادقة عبر طلبات HTTP في إعداد mod_php القياسي، وذلك قبل تشغيل كود تطبيق الويب.

حالة داخلية قديمة وبيئات متأثرة

أما CVE-2026-109619 فتتعلق بحالة داخلية قديمة تبقى بعد تحرير ذاكرة الطلب، إذ يمكن لعملية عامل (worker) أن تشير إليها عند معالجة طلب لاحق. وتشمل البيئات المتأثرة PHP-FPM وApache mod_php وPHP-CGI وFrankenPHP وLiteSpeed، مع تصنيف mod_php على أنه الأعلى خطورة.

ولا يكفي تشغيل الأمر php -v وحده للتأكد من الترقيع، لأن خدمة الويب قد تستخدم إصداراً مختلفاً من PHP-FPM أو وحدة Apache. وتُدرج Ubuntu 24.04 LTS الحزمة المصححة بالرقم 8.3.6-0ubuntu0.24.04.13.

وتُعدّ التخفيفات الجزئية محدودة الأثر؛ فتعطيل الخيار session.upload_progress.enabled=0 يسدّ بعض مسارات الهجوم دون كل المتغيرات، كما أن الخيار fatal_error_backtraces=0 في PHP 8.5 ليس سوى تخفيف محدود.