فريق أمن PHP يطلق تحديثات عاجلة لثغرتين حرجتين

أطلق فريق أمن PHP تحديثات أمنية طارئة لثغرتي تنفيذ تعليمات برمجية عن بُعد (RCE) حرجتين، هما CVE-2026-109618 وCVE-2026-109619، المعروفتان مجتمعتين باسم PHP2Shell.

اكتشف باحثو أمن من Calif وWiz وOpenAI هاتين الثغرتين غير المصادقتين لتنفيذ التعليمات البرمجية عن بُعد، وهما تؤثران في جميع تثبيتات PHP التي تخدم طلبات الويب، بما في ذلك PHP-FPM وApache مع mod_php وphp-cgi وFrankenPHP وLiteSpeed.

وقال فريق أمن PHP: «نعتبر الخطر الأعلى في mod_php، مع استغلال مُثبت حيث يمكن لطلب غير مُصادق أن يُطلق الهجوم قبل تشغيل أي تعليمات برمجية للتطبيق.»

تنشأ الثغرتان من المشكلة الأساسية نفسها: يمكن لـ PHP أن يترك ذاكرته في حالة تالفة عند انتهاء الطلب بشكل غير طبيعي، مما يسمح بتنفيذ تعليمات برمجية عن بُعد.

يمكن استغلال CVE-2026-109618 للحصول على تنفيذ تعليمات برمجية عن بُعد بحساب عامل الويب من خلال سلسلة من نقاط الضعف تؤدي إلى تلف الذاكرة عند نفادها. بينما تتيح CVE-2026-109619 استخدام الذاكرة بعد تحريرها (use-after-free) في الكومة دون مصادقة، والكشف عن الذاكرة، وتنفيذ تعليمات برمجية عن بُعد بصلاحيات عامل الويب.

يُحث المسؤولون على تثبيت إصدارات PHP 8.5.12 أو 8.4.27 أو 8.3.36 أو 8.2.35 على الخوادم التي تعمل بـ PHP 8.x، والانتقال إلى إصدار مُصلح إذا كانوا يستخدمون PHP 7 أو أقدم.

وأشار مطورو PHP: «لم تعد PHP 8.1 والإصدارات الأقدم تتلقى تحديثات من مشروع PHP. توفر بعض التوزيعات وموردي LTS إصلاحات مُستنسخة، لذا تواصلوا مع المورد للحصول على التفاصيل، أو قوموا بالترقية إلى إصدار مدعوم.»

لمساعدة المستخدمين الذين يبنون من المصدر أو أولئك الذين لا يستطيعون الوصول إلى مورد LTS، قدم فريق أمن PHP إصلاحات مصدرية مُستنسخة بسيطة لـ PHP 7.4 وPHP 8.0 وPHP 8.1.

تحذير مسبق

يأتي هذا الإعلان بعد تحذير من مطوري PHP يحثون فيه المسؤولين على الاستعداد لتثبيت هذه التحديثات الأمنية فور إصدارها. وقالوا: «يُشجع جميع مستخدمي PHP على الاستعداد الآن حتى يتمكنوا من الترقية بمجرد توفر الإصدار.»

وحذرت مطورة نواة PHP جينا بيتر بانيارد من أن أي إجراءات تخفيف لـ PHP2Shell لن تمنع الهجمات المحتملة بشكل كامل، مؤكدة أن تطبيق التحديثات الأمنية الرسمية هو الدفاع الدائم الوحيد.

وقبل إصدار التحديثات، أكد المدير التقني لـ Cloudflare داين كنشت أن الشركة رصدت بالفعل هجمات مبكرة تستهدف الثغرتين، رغم نشرها مجموعة من قواعد WAF المصممة لحظر طرق استغلال PHP2Shell المعروفة. وشدد كنشت على أن هذه الحمايات مؤقتة وحث جميع المسؤولين على تثبيت تحديثات PHP الأمنية فور توفرها.

كما حذر المركز الوطني للأمن السيبراني في المملكة المتحدة (NCSC) المؤسسات البريطانية بضرورة تحديث الأنظمة التي تستخدم PHP فوراً أو إيقافها عن العمل حتى يمكن تحديثها.

إجراءات تخفيف مؤقتة

لمن لا يستطيعون تحديث خوادمهم على الفور، قدم فريق أمن PHP عدة إجراءات تخفيف لتقليل التعرض لبعض مسارات الهجوم، رغم أنها لا تحمي بشكل كامل من الاستغلال:

• CVE-2026-109618: اضبط memory_limit=-1، ويفضل بطريقة لا يمكن للتطبيقات تجاوزها، مثل php_admin_value في تجمع FPM أو إعداد Apache.
• اضبط post_max_size بقيمة منخفضة: 8M للتطبيقات التي لا تتطلب تحميل ملفات، و32M إذا كان التحميل ضرورياً.
• استخدم حداً للحاوية أو cgroup كحدود للتوافر، ويفضل بسياسة تقتل العامل المتأثر فقط.

• CVE-2026-109619: اضبط session.upload_progress.enabled=0 وأعد تشغيل كل عامل.
• في PHP 8.5، اضبط fatal_error_backtraces=0 وأعد تشغيل كل عامل. هذا يحظر فقط مسار التتبع العكسي للخطأ القاتل المؤكد.
• أزل الإعدادات غير الصالحة أو المهملة المطبقة لكل طلب والتي تصدر تشخيصات قبل التهيئة. إخفاء التشخيصات باستخدام error_reporting أو display_errors أو @ لا يساعد.
• أصلح الأخطاء القاتلة ومهلات التنفيذ التي يمكن للمهاجم الوصول إليها، بما في ذلك حالات الفشل في الاستدعاءات الراجعة ومعالجة التحميل أو الاستيراد والتنظيف.

PHP (المعالج النصي التشعبي) هي لغة تطوير ويب مفتوحة المصدر تعمل من جهة الخادم، وتشغل 75% إلى 80% من جميع مواقع الويب، بما في ذلك تلك التي تستخدم أنظمة إدارة المحتوى (CMS) مثل WordPress وJoomla وDrupal.

وفقاً لتقديرات VirusTotal، هناك أكثر من 5.1 مليون مضيف PHP مكشوف على الإنترنت، منها نحو 3.8 مليون لديها منفذ واحد على الأقل مفتوح.

المصدر: BleepingComputer