أعلنت مؤسسة PHP الرسمية في 21 أكتوبر 2026 عن إطلاق تحديثات أمنية عاجلة لمعالجة ثغرتين حرجتين من فئة تنفيذ الأوامر عن بُعد (Remote Code Execution - RCE) عُرفتا إعلامياً وتقنياً باسم PHP2Shell، وتحملان المعرفين CVE-2026-109618 وCVE-2026-109619 بتقييم خطورة يبلغ 9.2 وفق معيار CVSS v4.0.
تفاصيل ثغرتي CVE-2026-109618 وCVE-2026-109619 في محرك PHP
تستهدف الثغرتان آلية إدارة الذاكرة ومعالجة الأخطاء القاتلة داخل نواة لغة PHP، ما يجعل جميع بيئات التشغيل المتصلة بالويب مثل Apache مع mod_php وPHP-FPM وLiteSpeed وFrankenPHP عُرضة للاستغلال قبل وصول الطلب إلى كود التطبيق نفسه.
الإصدارات الرسمية المؤمنة التي يجب الترقية إليها فوراً
- إصدار PHP 8.5.12: يعالج كافة مسارات تلف الذاكرة للفرع 8.5 الحديث.
- إصدار PHP 8.4.27: يسد ثغرات استبقاء الحالة وتجاوز حدود الذاكرة للفرع 8.4.
- إصدار PHP 8.3.36: يوفر الحماية الكاملة لخوادم الإنتاج العاملة على الفرع 8.3.
- إصدار PHP 8.2.35: يغلق منافذ الاستغلال للفرع 8.2 مع توفير ترقيعات مصدرية للفروع القديمة 7.4 و8.0 و8.1.
إن خطورة ثغرتي PHP2Shell تكمن في إمكانية تنفيذ الشيفرات الخبيثة أثناء مرحلة تهيئة الطلب وقبل تشغيل أي جدار حماية برمجي داخل التطبيق.
خطوات التحديث الفوري وإجراءات التخفيف المؤقتة لمديري الأنظمة
تؤكد تقارير مختبرات Datadog الأمنية أن التحديث إلى الحزم المرقعة وإعادة تشغيل جميع عمليات المعالجة (Workers) هو الحل الجذري الوحيد، خاصة بعد رصد محاولات استغلال فعلية في البرية منذ 17 أكتوبر 2026.
إعدادات الحماية المؤقتة في ملف php.ini لحين اكتمال الترقية
في حال تعذر التحديث اللحظي، يوصي الفريق الأمني بضبط memory_limit=-1 على مستوى النظام مع تقييد حجم الطلبات عبر الخادم العكسي (Reverse Proxy)، وتعطيل session.upload_progress.enabled=0 وfatal_error_backtraces=0 ثم إعادة تشغيل خوادم الويب فوراً. ويمكن مراجعة التفاصيل الموثقة عبر البيان الرسمي لمؤسسة PHP Foundation.
التعليقات (0)
أضف تعليقك