أصدر فريق أمان PHP تحديثات أمنية عاجلة لمعالجة ثغرتين حرجتين لتنفيذ التعليمات البرمجية عن بعد (RCE) تُعرفان جماعيًا باسم PHP2Shell. هذه الثغرات، التي تحمل الرمزين CVE-2026-109618 و CVE-2026-109619، تؤثر على جميع تثبيتات PHP التي تخدم طلبات الويب، وتتطلب تحديثًا فوريًا.
ما هي ثغرات PHP2Shell؟
اكتشف هذه الثغرات باحثون أمنيون من Calif و Wiz و OpenAI. تنجم كلتا الثغرتين عن مشكلة أساسية واحدة: وهي أن PHP يمكن أن يترك ذاكرته في حالة تالفة عند انتهاء الطلب بشكل غير طبيعي، ويمكن استغلال كلتيهما لتحقيق تنفيذ تعليمات برمجية عن بعد. الثغرة الأولى، CVE-2026-109618، تسمح بتنفيذ تعليمات برمجية بصلاحيات حساب عامل الويب عبر استغلال سلسلة من نقاط الضعف التي تؤدي إلى تلف الذاكرة. أما الثغرة الثانية، CVE-2026-109619، فتُمكّن من استغلال الثغرات في حالة المتغيرات العامة القديمة (stale global state) للحصول على استخدام للذاكرة بعد تحريرها وكشف محتواها، بالإضافة إلى تنفيذ تعليمات برمجية بنفس صلاحيات عامل الويب.
تتأثر بهذه الثغرات جميع تطبيقات PHP التي تخدم طلبات الويب، بما في ذلك PHP-FPM و Apache مع mod_php و php-cgi و FrankenPHP و LiteSpeed. وقد حذر فريق أمان PHP من أن الخطر أعلى بالنسبة لتكوينات mod_php، حيث أظهر استغلال لهذه الثغرة أن الطلب غير المصادق عليه يمكن أن يؤدي إلى الهجوم حتى قبل تشغيل أي كود للتطبيق.
التحديث الفوري هو الحل الوحيد
تدعو فرق PHP ومراكز الأمن السيبراني الجميع لتثبيت الإصدارات PHP 8.5.12 و 8.4.27 و 8.3.36 و 8.2.35 في أقرب وقت ممكن. لا توجد حلول مؤقتة تمنع الهجمات بشكل كامل، والتحديث الرسمي هو الدفاع الدائم الوحيد. وقد حذر المركز الوطني للأمن السيبراني في المملكة المتحدة (NCSC) المنظمات البريطانية بضرورة تحديث الأنظمة التي تستخدم PHP فوراً أو إيقافها عن العمل حتى يمكن تصحيحها.
بالنسبة لإصدارات PHP 8.1 والأقدم، فإنها لم تعد تتلقى تحديثات من مشروع PHP. ومع ذلك، وفر فريق الأمان إصدارات بسيطة (source-backports) لإصدارات PHP 7.4 و 8.0 و 8.1 لمساعدة المطورين الذين يقومون بالبناء من المصدر أو الذين ليس لديهم وصول إلى بائع دعم طويل الأجل (LTS). يُنصح بالتواصل مع بائعي التوزيعات للحصول على التفاصيل أو الترقية إلى إصدار مدعوم.
قبل إصدار التصحيحات، أكد Dane Knecht، المدير التقني لـ Cloudflare، أن الشركة قد نشرت بالفعل مجموعة من قواعد WAF مصممة لحظر طرق استغلال PHP2Shell المعروفة. ومع ذلك، شدد Knecht على أن هذه الحماية مؤقتة وحث جميع المسؤولين على تثبيت تحديثات PHP الأمنية بمجرد توفرها.
بالنسبة لمن لا يستطيعون التحديث فوراً، قدم فريق أمان PHP بعض الإجراءات المؤقتة التي يمكن أن تقلل من التعرض لبعض مسارات الهجوم، لكنها لا تحمي بشكل كامل. على سبيل المثال، يمكن ضبط «memory_limit=-1» أو «post_max_size» منخفض لـ CVE-2026-109618. ولـ CVE-2026-109619، يمكن ضبط «session.upload_progress.enabled=0» أو «fatal_error_backtraces=0» على PHP 8.5. يُنصح بالاطلاع على مدونة PHP الرسمية للحصول على تفاصيل حول هذه الإجراءات.
ما يعنيه هذا للمطورين
نرى أن هذه الثغرات تُعد تذكيرًا صارخًا بأهمية التحديثات الأمنية الدورية. بما أن PHP يُشغل ما بين 75% إلى 80% من جميع مواقع الويب، بما في ذلك أنظمة إدارة المحتوى مثل WordPress و Joomla و Drupal، فإن التأثير المحتمل واسع النطاق. يجب على المطورين ومديري الأنظمة إعطاء الأولوية القصوى لتطبيق هذه التحديثات على خوادمهم لتجنب التعرض لهجمات تنفيذ التعليمات البرمجية عن بعد غير المصادقة، والتي يمكن أن تؤدي إلى اختراق كامل للأنظمة.
المصادر: bleepingcomputer.com، laravel-news.com، theregister.com