أصدر فريق أمن لغة PHP تحديثات أمنية طارئة لمعالجة ثغرتين حرجتين من نوع تنفيذ التعليمات البرمجية عن بُعد (RCE)، واللتين يتم تتبعهما تحت مسمى PHP2Shell. تحمل الثغرتان المعرفات CVE-2026-109618 وCVE-2026-109619، وتسمحان للمهاجمين غير المصرح لهم بالتحكم في الخوادم المتأثرة.
تفاصيل الثغرات وتأثيرها
تم اكتشاف هذه الثغرات بجهود مشتركة من باحثين في شركات Calif وOpenAI وWiz. وتكمن خطورة هذه الثغرات في أنها تؤثر على جميع بيئات تشغيل PHP التي تخدم طلبات الويب، بما في ذلك PHP-FPM، وApache مع mod_php، وphp-cgi، وFrankenPHP، وLiteSpeed.
وأوضح فريق أمن PHP أن الخطر الأكبر يكمن في إعدادات mod_php، حيث يمكن لمهاجم غير مصرح له تنفيذ هجوم قبل بدء تشغيل أي كود برمجي خاص بالتطبيق. تنبع الثغرتان من مشكلة جوهرية تتعلق بترك الذاكرة في حالة تالفة عند انتهاء الطلب بشكل غير طبيعي، مما يفتح الباب لاستغلالها في تنفيذ تعليمات برمجية عن بُعد.
الإجراءات المطلوبة للمسؤولين
يجب على مديري الأنظمة تحديث خوادمهم فوراً إلى الإصدارات الآمنة التالية: 8.5.12، 8.4.27، 8.3.36، أو 8.2.35. بالنسبة للإصدارات الأقدم (7.4، 8.0، 8.1) التي لم تعد تتلقى تحديثات رسمية، وفر فريق PHP ملفات تصحيح (backports) للمساعدة في تأمين الأنظمة التي لا تزال تعتمد على هذه الإصدارات.
لماذا يهم هذا الخبر؟
تعتبر لغة PHP العمود الفقري لما يقرب من 75% إلى 80% من مواقع الويب عالمياً، بما في ذلك المنصات الشهيرة مثل WordPress وDrupal. ونظراً لوجود أكثر من 5 ملايين خادم PHP معرض للإنترنت، فإن استغلال هذه الثغرات يمثل تهديداً واسع النطاق. وقد أكدت شركة Cloudflare أنها رصدت بالفعل محاولات استغلال مبكرة لهذه الثغرات، مما دفع المركز الوطني للأمن السيبراني في المملكة المتحدة (NCSC) إلى إصدار تحذير عاجل للمؤسسات بضرورة التحديث الفوري أو فصل الأنظمة عن الشبكة.
تدابير التخفيف المؤقتة
في حال تعذر التحديث الفوري، قدم فريق أمن PHP بعض الإجراءات التخفيفية لتقليل فرص الاستغلال، منها:
- لثغرة CVE-2026-109618: ضبط
memory_limit على -1، وتقليل post_max_size إلى 8 ميجابايت (أو 32 ميجابايت عند الحاجة لرفع الملفات).
- لثغرة CVE-2026-109619: ضبط
session.upload_progress.enabled على 0، وفي إصدار 8.5 ضبط fatal_error_backtraces على 0 مع إعادة تشغيل العمال (workers).
يؤكد المطورون أن هذه التدابير لا توفر حماية كاملة، وأن التحديث الرسمي هو الوسيلة الوحيدة لضمان أمن الخادم بشكل دائم.
كيف أعددنا هذا الخبر؟
اعتمد الخبر على المصدر الأصلي الموضح أعلاه. قد نستخدم أدوات آلية للمساعدة في الاستخراج والتصنيف والصياغة،
لكن النشر يخضع لقواعد تمنع المحتوى المكرر والقصير أو الروتيني منخفض القيمة.
اقرأ سياستنا التحريرية.