CISA تضيف عيبين من نوع PHP2Shell للتنفيذ عن بُعد إلى كتالوج KEV

أكدت CISA استغلالاً فعلياً لثغرتَي PHP2Shell وأضافتهما إلى كتالوج الثغرات المستغلة المعروفة (KEV). تتيح الثغرتان، المقيّمتان 9.2 على مقياس CVSS، تنفيذاً عن بُعد غير مُصدَّق لشيفرة على نشرات PHP المتأثرة. كما أكد Adel Karimi من Perplexity تنفيذاً عن بُعد ناجحاً ضد أنظمة honeypot في 24 أكتوبر 2026.

ما أكّدته CISA

الثغرتان هما CVE-2026-109618، وهي عيب فساد ذاكرة من نوع out-of-memory، وCVE-2026-109619، وهي عيب حالة طلب داخلية قديمة. أضافت CISA كلا الثغرتين إلى كتالوج KEV بعد أن أبلغ Karimi عن تنفيذ عن بُعد مؤكد مع إفصاح ذاكرة قابل للاستخدام. قال Karimi إن الاستجابة قدمت تفريغاً مفكوك الترميز لملفات تعريف الارتباط بحجم 800 KiB، وأن عنوان دالة مشتق من ذلك التفريغ باستخدام إزاحات الاستغلال العام يظهر في حمولة التنفيذ اللاحقة. كما قال إن الدليل يُظهر السلسلة على ملف تعريف mod_php أحادي العامل المُفضَّل عمداً، وليس قياساً لموثوقية الاستغلال على أعداد أخرى من العمال، أو إصدارات PHP، أو تطبيقات.

التصحيحات والمواعيد النهائية

تمت معالجة المشكلة في إصدارات PHP 8.5.12 و 8.4.27 و 8.3.36 و 8.2.35، الصادرة في 21 أكتوبر 2026. أمام الوكالات الاتحادية حتى 29 أكتوبر 2026 لتطبيق الإصلاحات الضرورية. وفقاً لتقديرات شاركتها Censys، لا تزال أكثر من 32.51 مليون خدمة PHP تعمل بإصدار متأثر. يُستخدم PHP في نحو 70% من جميع مواقع الويب على الإنترنت. دفعت شدة الثغرات إلى إصدار تنبيهات من العديد من منظمات البرمجيات والأمن والحكومة، بما في ذلك ABB و Arista Networks و Belden و Broadcom و Canon و Citrix و Dell و Dormakaba و F5 و Hikvision و HP و HPE و Hitachi Energy و HMS Networks و Huawei و IBM و Ivanti و Johnson Controls و Mitel و Moxa و NETGEAR و Okta و QNAP و Rockwell Automation و Ruckus Wireless و Salesforce و Schneider Electric و Siemens و SonicWall و Splunk و Synology و Veeam و Wibu-Systems و WordPress.

مشكلة متعلقة بإصدارات Windows

اعتباراً من 26 أكتوبر 2026، أصدرت PHP Foundation أيضاً إصدارات Windows 8.5.12-1 و 8.4.27-1 و 8.3.36-1 و 8.2.35-1 لمعالجة CVE-2026-111497. وهي عيب كتابة خارج الحدود في مكتبة فك ترميز Brotli يمكن أن يؤدي أيضاً إلى تصعيد امتيازات وتنفيذ عن بُعد غير مُصدَّق لشيفرة. الثغرة، المعروفة أيضاً باسم Broccoli2Shell و HTTP2Shell و Node2Shell، تؤثر على إصدارات Brotli من 1.0.3 حتى 1.0.9، و 1.1.0، و 1.2.0. تم تصحيحها في الإصدارات 1.0.10 و 1.1.1 و 1.2.1، إلى جانب مشاريع أخرى تتضمن مكتبة C، بما في ذلك Node.js و Bun و Envoy Proxy و Istio و .NET و Python. "في إصدارات PHP لـ Windows، يمكن الوصول إلى فك الترميز الضعيف عبر امتداد cURL عندما يكون فك ضغط استجابة HTTP التلقائي مفعّلاً"، قالت PHP Foundation. "هذا معطّل افتراضياً في cURL، لكن التطبيقات ومكتبات عميل HTTP يمكنها تفعيله."

تغطية سابقة: VulnCheck يطور استغلال PHP2Shell يتجاوز ASLR على أنظمة الإنتاج · PHP يشير إلى خطر RCE غير مصحح في إعداد ضيق بعد تصحيحات PHP2Shell الطارئة

المصادر: The Hacker News