SK Shieldus يكشف ثغرتي PHP2Shell ويتيح تنفيذ أوامر عن بُعد

نشرت شركة الأمن السيبراني SK Shieldus تقريراً أمنياً يحلّل ثغرتي PHP المعروفتين بـ CVE-2026-109618 وCVE-2026-109619، وأوصت فيه بترقية PHP وإعادة تشغيل جميع عمليات PHP العاملة على الخادم، حسب bloter.net.

ووفق التقرير، تتيح الثغرتان تنفيذ شيفرة برمجية عن بُعد، وتنتجان عن إنهاء غير طبيعي للطلبات أثناء نفاد الذاكرة في نظام إدارة الذاكرة في PHP. وتستغل CVE-2026-109619 حالة استخدام بعد التحرير حين يعيد عامل PHP استخدام بقايا حالة الذاكرة من طلب سابق في طلب لاحق، ويُستخدم في ذلك مسار الهجوم الخاص بميزة session.upload_progress لمتابعة تقدّم رفع الملفات، وهي مفعّلة افتراضياً.

أما CVE-2026-109618 فتُستثار عند إغلاق طلب أخفق في التهيئة بعد نفاد الذاكرة، ما يسمح بتنفيذ شيفرة عشوائية. وأعادت SK Shieldus إنتاج الثغرة في بيئة اختبار باستخدام PHP 8.4.26 وخادم الويب Apache، وحصلت على وصول تفاعلي إلى صدفة النظام بصلاحيات خادم الويب من دون مصادقة.

وتشمل الإصدارات المتأثرة PHP 8.2.34 وما دونها، و8.3.35 وما دونها، و8.4.26 وما دونها، و8.5.11 وما دونها، إضافة إلى PHP 8.1 والإصدارات الأقدم التي انتهى دعمها. ويوصي التقرير بالترقية إلى PHP 8.2.35 أو 8.3.36 أو 8.4.27 أو 8.5.12 أو إصدارات أحدث.

سياق أوسع

كانت الثغرتان قد كُشفت في أكتوبر 2026. وفي 3 نوفمبر 2026 نشرت Kaspersky تحليلاً نقلت فيه عن Censys أن 29 مليوناً من أصل 46 مليون خدمة PHP مصابة رُصدت عبر الإنترنت كانت لا تزال تعمل بإصدارات مصابة بعد صدور الترقيعات. وكانت W3Techs قد أشارت في 23 أكتوبر 2026 إلى أن 69.3% من المواقع ذات لغة خادم محددة تستخدم PHP.