ثغرتان خطيرتان في PHP: تحديثات CVE-2026-109618 وCVE-2026-109619
قد تتيح ثغرتان في بيئة تشغيل PHP تنفيذ تعليمات برمجية عن بُعد دون تسجيل دخول. احصر جميع خدمات الويب التي تستخدم PHP وثبّت إصداراً مصححاً أو تحديثاً معتمداً من المورّد.
ما الذي حدث؟
في 21 أكتوبر 2026، نشر مشروع PHP إصلاحين لثغرتين خطيرتين قد تتيحان تنفيذ تعليمات برمجية عن بُعد. ترتبط CVE-2026-109618 بتلف الذاكرة عند نفادها، بينما تتعلق CVE-2026-109619 ببقاء حالة طلب قابلة للاستخدام بعد تحرير الذاكرة المخصصة لها. الخلل في بيئة تشغيل PHP نفسها؛ لذلك لا تكفي مراجعة التطبيق أو إضافاته وحدها.
من عليه التحرك؟
احصر استخدام PHP في كل خدمة تستقبل طلبات ويب، بما في ذلك PHP-FPM وApache mod_php وphp-cgi وFrankenPHP وLiteSpeed. لا تنس التطبيقات المعبأة والأجهزة التي تتضمن PHP داخلياً. ويعد مشروع PHP إعداد mod_php الأعلى خطورة، إذ ثبت إمكان بدء هجوم بطلب غير مصادق عليه قبل تشغيل شيفرة التطبيق.
الخطوات المطلوبة
حدّث الفروع المدعومة إلى PHP 8.5.12 أو 8.4.27 أو 8.3.36 أو 8.2.35، أو ثبّت حزمة مورّد تتضمن الإصلاحات. لم تعد إصدارات PHP 8.1 وما قبلها ضمن الدعم المعتاد للمشروع؛ لذا راجع مورّد التوزيعة أو المنتج بشأن إصلاح مدعوم، أو خطط للترقية. بعد النشر، تحقق من إصدار PHP الذي تستخدمه خدمة الويب أو الحاوية فعلياً، لا من الحزمة المثبتة على الخادم فقط.
وفي تنبيه لاحق بتاريخ 23 أكتوبر، أوصى مشروع PHP بضبط session.upload_progress.enabled=0 حتى صدور التحديث الاعتيادي التالي لمعالجة مسار آخر نادر. هذا إجراء احترازي إضافي، وليس بديلاً عن التحديث الأمني.
