PHP تخطط لإصدار أمني طارئ لثغرتين حرجتين لتنفيذ التعليمات البرمجية عن بعد

إصدار طارئ مجدول

سيصدر PHP تحديثاً أمنياً خارج الدورة في 14:00 ت ع م في 21 أكتوبر 2026 لثغرتين حرجتين صنّفتهما فرقته الأمنية بـ 9.2 على مقياس CVSS v4.0. تتيح الثغرتان تنفيذ تعليمات برمجية عن بعد وفق باحثي watchTowr. لم يُبلغ عن أي استغلال حتى الآن. فقط الفروع الأربعة المدعومة من PHP 8.2 إلى 8.5 يمكنها الحصول على الإصلاح. قد يصدر PHP التحديث مبكراً إذا أصبحت التفاصيل عامة أو ظهر دليل على استغلال نشط.

تسريب دفع إلى إشعار مبكر

في 20 أكتوبر، ادعى منشور على Hacker News وجود ثغرتين لتنفيذ كود عن بعد في PHP مصنفتين CVSS 10.0 وتؤثران على الإصدارات من PHP 5 فصاعداً، على أن تُكشف في 22 أكتوبر. لم يقدم الناشر أي دليل قابل للتحقق. أكّد باحثو watchTowr لاحقاً أن المعلومات المسربة حقيقية وأن الثغرتين كانتا تحت الحظر. نشر PHP إشعاراً مسبقاً في 20 أكتوبر الساعة 19:33 ت ع م، مقدّماً الإصدار إلى 21 أكتوبر أي قبل يوم من التاريخ المسرب أصلاً. شمل التسريب معرفين CVE هما CVE-2026-109618 و CVE-2026-109619، لكن إشعار PHP لم يذكر أياً منهما. لا يزال الادعاء بأن كل إصدار منذ PHP 5 متأثر غير مؤكد بموجب تنبيه رسمي.

الفروع المدعومة والإصدارات المتوقعة

يصدر PHP الإصلاحات فقط لأفرعه الأربعة المدعومة. تتلقى الإصدارات 8.2 و 8.3 إصلاحات أمنية فقط حتى 31 ديسمبر 2026 و 31 ديسمبر 2027 على التوالي. الإصدارات 8.4 و 8.5 في دعم نشط حتى 31 ديسمبر 2026 و 31 ديسمبر 2027 على التوالي. يتوقع متتبعون منهم Alpine Linux والباحث الأمني Kevin Beaumont أن تصدر الإصلاحات كـ PHP 8.5.12 و 8.4.27 و 8.3.36 و 8.2.35، رغم أن PHP لم تؤكد الأرقام. الفروع الأقدم من 8.2 بما في ذلك 8.1 و 8.0 و 7.x و 5.x وصلت لنهاية العمر ولن تتلقى أي تصحيح من المورّد.

إرشادات التخفيف للمديرين

لم تنشر PHP أي حل بديل. يجب على المديرين حصر كل تثبيت لـ PHP بما في ذلك المدمج في أجهزة المورّدين وبرامج Windows ولوحات التحكم مثل cPanel و Plesk. كن مستعداً للترقية في 14:00 ت ع م. أصلح الأنظمة المواجهة للإنترنت أولاً وتحقق من توزيعات Linux ومزودي الاستضافة بحثاً عن حزم منقولة إلى الإصدارات الأقدم. بالنسبة للفروع منتهية العمر، أخرج النظام من الإنترنت أو ضعه خلف VPN أو جدار حماية تطبيقات ويب. تنصح CERT-EU بعزل التطبيقات المواجهة للإنترنت عن الشبكات العامة حتى يتوفر إصلاح. راقب عمليات php-fpm و php-cgi و httpd أو apache2 التي تطلق أصدافاً أو مفسّرات أو أدوات تحميل. يسجّل process-watcher الخاص بـ Florian Roth كل برنامج تبدأه عملية PHP لكنه لا يمنع شيئاً. إذا اكتشفت نشاطاً مشبوهاً، عزل الخادم واحتفظ بالسجلات وابحث عن أصداف ويب وملفات جديدة في جذر الويب ومهام cron جديدة ومهام مجدولة وحسابات. اعتباراً من 21 أكتوبر لم يُبلغ عن أي استغلال، والثغرتان غير مدرجتين في كتالوج الثغرات المستغلة المعروفة لدى CISA.

المصادر: The Hacker News · Ars Technica · Php.Net