PHP2Shell: ثغرتان حرجتان في PHP تسمحان بتنفيذ أوامر عن بُعد
ثغرتا PHP2Shell المصنفتان CWE-824 تحملان درجة خطورة 9.2 وتستهدفان إصدارات PHP من 5.4.0 فصاعدًا، بحسب ما أعلنه Wiz وOpenAI وCalif.
أعلن كل من Wiz وOpenAI وCalif عن اكتشاف ثغرتين أمنيتين جديدتين في بيئة تشغيل PHP تحملان الاسم PHP2Shell، وتُعرفان بالمعرفين CVE-2026-109618 وCVE-2026-109619. وتصنف الثغرتان ضمن فئة CWE-824 (الوصول إلى مؤشر غير مهيأ)، وتمنحان درجة خطورة 9.2 (حرجة) وفق نظام CVSS v4.0، ويمكن أن تؤديا إلى تنفيذ أوامر عن بُعد دون الحاجة إلى مصادقة أو تفاعل من المستخدم.
الثغرة الأولى CVE-2026-109618 تنشأ من طريقة تعامل PHP مع مخارج نفاد الذاكرة عبر الدالة longjmp()، وقد أبلغ عنها Calif وWiz وOpenAI وQuarkslab. أما الثانية CVE-2026-109619 فتنبع من أن مخارج الأخطاء القاتلة تترك حالة عامة تشير إلى ذاكرة محررة، وأبلغ عنها Wiz وCalif وOpenAI.
ووفق dailysecu.com، صُنفت درجة تعقيد الهجوم لكلتا الثغرتين على أنها "عالية"، لأن الاستغلال يتطلب تجاوز آليات الحماية المدمجة وتشكيل كومة الذاكرة بدقة على نفس عامل Apache. ويُقدَّر أن PHP2Shell تؤثر على إصدارات PHP ابتداءً من 5.4.0، على الرغم من أن كل إصدار لم يُختبر على حدة.
وتستخدم ثلاث من أصل خمس تقنيات هجوم تم عرضها ميزة تقدم رفع الجلسة في PHP كمحفز عن بُعد يعمل قبل تنفيذ كود التطبيق. ويعد هذا الكشف بمثابة تنبيه لمشغلي الخوادم الذين يعتمدون على PHP، إذ يتعين عليهم متابعة التحديثات الأمنية الصادرة عن مطوري اللغة.
سياق الانتشار
يأتي هذا الكشف في وقت تستخدم فيه الغالبية العظمى من المواقع الإلكترونية التي تعتمد لغة برمجة من جانب الخادم لغة PHP؛ إذ تشير بيانات سابقة إلى أن أكثر من 69% من تلك المواقع تستخدم PHP.
أسئلة سريعة
ما هي ثغرات PHP2Shell؟
ثغرتان أمنيتان في بيئة تشغيل PHP تحملان المعرفين CVE-2026-109618 وCVE-2026-109619، وتصنفان ضمن CWE-824 بدرجة خطورة 9.2.
ما إصدارات PHP المتأثرة؟
يُقدَّر أن الثغرتين تؤثران على إصدارات PHP بدءًا من 5.4.0، دون اختبار كل إصدار على حدة.
هل يمكن استغلال الثغرتين دون مصادقة؟
نعم، يمكن أن تؤديا إلى تنفيذ أوامر عن بُعد دون مصادقة أو تفاعل من المستخدم، لكن تعقيد الهجوم مصنف على أنه عالٍ.