PHP تطلق تحديثاً أمنياً طارئاً لثغرتين حرجتين تسمحان بالتنفيذ عن بُعد
تستعد PHP لإصدار تحديث أمني طارئ عند الساعة 14:00 بالتوقيت العالمي المنسق يوم 21 أكتوبر لمعالجة ثغرتين حرجتين حاصلتين على تقييم 9.2 في مقياس CVSS v4.0. ولم تُكشف تفاصيل هاتين الثغرتين بعد.
أشار باحثون في watchTowr إلى أن هذه العيوب تسمح بالتنفيذ عن بُعد للشيفرة البرمجية. ولن يتوفر الإصلاح إلا للفروع الأربعة المدعومة من PHP، وتحديداً الإصدارات من 8.2 إلى 8.5، ولم ترد أي تقارير عن استغلالها حتى الآن.
يأتي هذا الإعلان بعد تسريب حدث في 20 أكتوبر، إذ زعم منشور على Hacker News أن ثغرتي تنفيذ عن بُعد للشيفرة البرمجية في PHP، بتقييم CVSS 10.0 وتؤثران على الإصدارات من PHP 5 فصاعداً، ستُكشف في 22 أكتوبر. وأقرّ ناشر المنشور بعدم امتلاكه أدلة جوهرية تدعم هذا الادعاء.
ورداً على ذلك، أكدت watchTowr عبر X أن المعلومات المسربة دقيقة، موضحة أن الثغرتين كانتا تحت الحظر ولم يكن ممكناً مشاركة مزيد من التفاصيل في ذلك الوقت.
نشرت PHP إشعاراً مساء 20 أكتوبر ذكرت فيه أن الإصدار مقرر في 21 أكتوبر، أي قبل يوم مما أشارت إليه watchTowr. وأشار الإشعار أيضاً إلى أن PHP قد تعجّل الإصدار إذا أصبحت تفاصيل أي من الثغرتين علنية أو ظهرت أدلة على استغلال نشط.
تضمن التسريب وجود الثغرتين، ودرجة خطورتهما، وموعد الإصدار، ومعرّفي CVE: CVE-2026-109618 وCVE-2026-109619. غير أن إشعار PHP لم يؤكد هذين المعرّفين. ولا يزال الادعاء بأن جميع الإصدارات منذ PHP 5 متأثرة غير مؤكد، إذ تشير الأسئلة الشائعة من watchTowr إلى أن هذا لم تؤكده أي استشارة رسمية من المورّد.
ذكرت PHP أن التفاصيل الكاملة، بما فيها الإصدارات المتأثرة والإصدارات المصلحة، ستُنشر مع الإصدار. وبدأ الباحثون يطلقون على الثغرتين اسم php2shell، وهو اسم لا تعترف به PHP رسمياً.
وبغض النظر عن النطاق النهائي المتأثر، لا توفر PHP إصلاحات إلا لفروعها الأربعة المدعومة. وهذه الفروع وحالة إصداراتها الحالية:
- 8.5: 8.5.11، دعم نشط حتى 31 ديسمبر 2027
- 8.4: 8.4.26، دعم نشط حتى 31 ديسمبر 2026
- 8.3: 8.3.35، إصلاحات أمنية فقط حتى 31 ديسمبر 2027
- 8.2: 8.2.34، إصلاحات أمنية فقط حتى 31 ديسمبر 2026
لم تعد الإصدارات الأقدم من 8.2، بما فيها 8.1 و8.0 و7.x و5.x، مدعومة ولن تتلقى تحديثاً. وإذا كانت الثغرتان تؤثران على هذه الفروع الأقدم، فلن يتوفر تحديث من المورّد للأنظمة التي تعمل بها.
وفقاً لشركة الأمن Mallory، أبلغ نحو 884,000 مضيف متصل بالإنترنت محرك البحث Shodan في 20 أكتوبر بأنه يعمل بإصدار PHP 8.1 أو أقدم، ما يمثل 59% من نحو 1.5 مليون مضيف أبلغ عن أي إصدار. ويستند هذا العدد إلى ترويسات HTTP وليس إلى أنظمة مؤكد تأثرها، كما أبلغ 740,000 مضيف إضافي عن PHP دون تحديد الإصدار.
لم تقدم PHP أي حلول بديلة للثغرتين. وفي هذه الأثناء، يوصي خبراء الأمن بعدة خطوات تحضيرية، تستند في معظمها إلى منشور الاستجابة السريعة من Huntress، إلى جانب نصائح العزل من CERT-EU:
- حصر جميع عمليات تثبيت PHP، بما فيها تلك المضمنة في أجهزة المورّدين وبرامج Windows ولوحات التحكم مثل cPanel وPlesk.
- الاستعداد للترقية عند الساعة 14:00 بالتوقيت العالمي المنسق، مع إعطاء الأولوية للأنظمة المتصلة بالإنترنت، والتحقق مع توزيعة Linux ومزود الاستضافة بشأن الحزم المتراجعة (backported).
- إذا كنت تستخدم فرعاً منتهي الصلاحية، فقم بالترقية أو أخرج النظام من الخدمة أو ضعه خلف VPN أو جدار حماية لتطبيقات الويب إلى حين تنفيذ الترقية.
- إذا لم يكن التحديث الفوري ممكناً، تنصح CERT-EU بعزل التطبيقات المتصلة بالإنترنت عن الشبكات العامة إلى حين توفر إصلاح.
- راقب عمليات PHP، مع التنبيه عند قيام php-fpm أو php-cgi أو httpd أو apache2 بتشغيل shell أو مفسّرات. وعلى خوادم Linux التي تفتقر إلى كشف نقاط النهاية، فكّر في استخدام process-watcher من Florian Roth لتسجيل كل برنامج يبدأه أي عملية PHP.
- إذا رُصد أي نشاط مريب، فاعزل الخادم واحتفظ بسجلات خادم الويب وPHP، وافحص بحثاً عن web shells وملفات جديدة في جذر الويب ومهام cron جديدة ومهام مجدولة وحسابات.
حتى 20 أكتوبر، أفادت Huntress بعدم استغلال الثغرتين في بيئات شركائها، وأنها لم تنشئ أو تعِد إثبات مفهوم. كما ذكرت الأسئلة الشائعة من watchTowr أنه لم يُبلّغ عن أي استغلال حتى 21 أكتوبر، وأن الثغرتين غير مدرجتين في كتالوج الثغرات المستغلة المعروفة لدى CISA.
من المتوقع أن يوضح الإصدار المرتقب التفاصيل التي حُجبت، بما فيها الإصدارات المتأثرة، ومكونات PHP المعنية بالتحديد، وما إذا كان الهجوم يتطلب إعداداً معيناً أو تسجيل دخول. وحتى الآن، لم تصدر PHP الإصلاحات بعد.
المصدر: The Hacker News