الملخص:
أصدر فريق تطوير PHP رسميًا تحديثًا أمنيًا طارئًا في 21 أكتوبر 2026 لإصلاح ثغرتين أمنيتين خطيرتين. تم ترقيم هاتين الثغرات الأمنية بـ CVE-2026-109618 وCVE-2026-109619 على التوالي. تم تصنيف كلاهما على أنهما خطيران وقد يسمحان للمهاجمين بتنفيذ التعليمات البرمجية عن بعد دون تسجيل الدخول. ويوصي المسؤولون بشدة بأن يقوم جميع مستخدمي PHP بالترقية فورًا إلى الإصدار الذي تم إصلاحه لتجنب هجمات الخادم.
تتضمن الإصدارات الثابتة التي تم إصدارها هذه المرة PHP 8.5.12 و8.4.27 و8.3.36 و8.2.35. وأشار المسؤولون إلى أن الثغرة الأمنية تؤثر على بيئات نشر PHP التي تتعامل مع الطلبات عبر الشبكة، بما في ذلك PHP-FPM وApache with mod_php وphp-cgi وFrankenPHP وLiteSpeed. أكد فريق PHP على وجه التحديد على أن المخاطر البيئية لاستخدام Apache mod_php تثير قلقًا خاصًا، حيث كانت هناك عروض توضيحية تشير إلى أن المهاجمين يمكنهم شن هجمات قبل بدء تنفيذ تعليمات برمجية للتطبيق.
تتعلق الثغرة الأمنية الأولى، CVE-2026-109618، بآلية معالجة استنفاد الذاكرة. عندما يواجه PHP ذاكرة غير كافية، قد يقاطع البرنامج تدفق المعالجة عندما لا تتم تهيئة بيانات الطلب الداخلي بالكامل، ثم يستخدم هذه البيانات غير الصالحة كبيانات صالحة عند تنظيف الموارد. يمكن أن تؤدي هذه الحالة غير الطبيعية إلى تلف الذاكرة ويمكن استغلالها بشكل أكبر في ظل ظروف معينة، مما يؤدي في النهاية إلى تنفيذ التعليمات البرمجية عن بُعد.
تتضمن الثغرة الأمنية الثانية، CVE-2026-109619، ذاكرة محررة وحالة داخلية منتهية الصلاحية. قد تظل بعض الحالات الداخلية التي تنتمي إلى الطلب الحالي موجودة بعد تحرير الذاكرة المقابلة. قد تستخدم الطلبات اللاحقة التي تتم معالجتها بواسطة نفس العملية المنفذة بيانات قديمة قبل أن تقوم التهيئة العادية بإعادة تعيين هذه الحالات، مما يسبب مشكلات أمنية. قد تسمح كلا الثغرات الأمنية للمهاجمين باختراق حدود تنفيذ البرنامج الأصلية.
تبلغ درجة CVSS v4.0 لكلا الثغرات 9.2، وهو مستوى خطير. ويكمن الخطر في أن المهاجم قد لا يحتاج إلى حساب صالح أو كلمة مرور أو بيانات اعتماد مصادقة أخرى لتشغيل الثغرة الأمنية عن طريق صياغة طلبات شبكة محددة. إذا نجح الهجوم، فقد يقوم المهاجم بتنفيذ أوامر ضارة أو سرقة البيانات أو زرع برامج ضارة أو استخدام امتيازات الخادم لمواصلة توسيع نطاق التطفل.
تعد PHP إحدى لغات البرمجة الأكثر شيوعًا من جانب الخادم في تطبيقات الإنترنت وتستخدم على نطاق واسع لإنشاء صفحات الويب الديناميكية وتفاعل قواعد البيانات ومعالجة الأعمال الخلفية. تعتمد أنظمة إدارة المحتوى مثل WordPress أيضًا على PHP للتشغيل، لذا فإن هذه الثغرة الأمنية لا تؤثر فقط على نظام أساسي معين لموقع الويب، ولكنها تشمل بيئة التشغيل الأساسية. حتى لو قام موقع ويب بتحديث برنامج WordPress الأساسي والمكونات الإضافية، فقد يظل موقع الويب معرضًا للخطر طالما أن إصدار PHP الموجود على الخادم لا يزال عرضة للخطر. أوضح مسؤولو WordPress أيضًا أن هذه المشكلة لا تحتاج إلى حل عن طريق إصدار تحديث WordPress الأساسي. يجب على مالكي مواقع الويب التحقق من بيئة PHP الفعلية قيد التشغيل وتحديثها.
بالنسبة لمواقع الويب التي تستخدم الفروع المدعومة لـ PHP 8.2 والإصدارات الأحدث، يجب على المسؤولين تثبيت إصدار الإصلاح المطابق في أقرب وقت ممكن. يحتاج المستخدمون الذين ما زالوا يستخدمون PHP 8.1 والإصدارات الأقدم إلى إيلاء اهتمام خاص: لم تعد هذه الإصدارات تتلقى التحديثات الأمنية المقدمة مباشرة من مشروع PHP. ومع ذلك، قد توفر بعض توزيعات Linux أو موفري الدعم طويل الأمد أو الموردين الآخرين تصحيحات التراجع، ويجب على المستخدمين المعنيين التأكد مع موردي البرامج الخاصة بهم من وجود إصلاح.
لقد حذرت الهيئات الأمنية سابقًا من أنه إذا لم يتمكن موقع الويب من إصلاح الثغرة الأمنية في الوقت المناسب، فيجب عليه التفكير في تقييد الوصول الخارجي مؤقتًا وإيقاف النظام عن الاتصال بالإنترنت إذا لزم الأمر. أدى الكشف عن هذه الثغرة الأمنية أيضًا إلى استجابات طارئة من العديد من البلدان والمناطق. اتخذت بعض الوكالات الحكومية الأوروبية زمام المبادرة لإغلاق مواقع الويب قبل إصدار التصحيح لتقليل المخاطر المحتملة. وذكرت رويترز أن بعض الوكالات الحكومية في هولندا وفنلندا اتخذت إجراءات وقائية، مما يعكس الضغط الفعلي الذي فرضه هذا الحادث الأمني على خدمات الشبكة العامة.
إن الإصدار الرسمي للطوارئ من PHP يعني أن المشكلات الأمنية التي كانت في السابق في مرحلة التحذير قد دخلت مرحلة الإصلاح الفعلي. بالنسبة لمشغلي مواقع الويب، فإن المهمة الأكثر أهمية الآن هي التأكد من إصدار PHP الذي يعمل عليه الخادم بالفعل، والتحقق مما إذا كان مزود الاستضافة قد نشر التحديثات، والتحقق من النظام بحثًا عن العمليات غير الطبيعية، أو تعديلات الملفات غير المصرح بها، أو اتصالات الشبكة المشبوهة.
لا يعتمد أمان موقع الويب على التطبيق نفسه فحسب، بل يعتمد أيضًا على ما إذا كان سيتم الحفاظ على بيئة التشغيل الأساسية في الوقت المناسب. وبما أن PHP منتشرة على نطاق واسع على مواقع الويب والخوادم المختلفة، فإن تثبيت إصدارات الإصلاح الرسمية في الوقت المناسب يعد إجراءً رئيسيًا لتقليل مخاطر هاتين الثغرات الخطيرة.
معرفة المزيد:
https://www.php.net/archive/2026.php#2026-10-21-5
https://www.php.net/downloads.php
التعليقات