→ العودة إلى المدونة
تنبيه أمني•3 دقائق قراءة

PHP: ثغرتان حرجتان لتنفيذ الأوامر عن بُعد في كتالوج CISA (CVE-2026-109618)

ف
فريق هندسة النظام الذكي

نشر مشروع PHP في 21 أكتوبر 2026 تنبيهاً أمنياً عن ثغرتين حرجتين، CVE-2026-109618 وCVE-2026-109619، قد تتيحان تنفيذ أوامر عن بُعد دون مصادقة. وفي 26 أكتوبر 2026 أضافت وكالة CISA الثغرتين إلى كتالوج الثغرات المستغلة المعروفة (KEV). ويحثّ مشروع PHP جميع مستخدمي PHP على التحديث فوراً.

من المتأثر؟

يقول مشروع PHP إن جميع تثبيتات PHP التي تخدم طلبات الويب معرّضة للخطر، ومنها PHP-FPM وApache مع mod_php وphp-cgi وFrankenPHP وLiteSpeed، مع اعتبار الخطر الأعلى في mod_php.

المنتجالإصدارات المتأثرةالإصدار المُصحَّح
PHP 8.5أقدم من 8.5.128.5.12
PHP 8.4أقدم من 8.4.278.4.27
PHP 8.3أقدم من 8.3.368.3.36
PHP 8.2أقدم من 8.2.358.2.35
PHP 8.1 وما قبلهلم تعد مدعومة من مشروع PHPرقّوا إلى إصدار مدعوم، أو اطلبوا من مزوّد التوزيعة أو الدعم طويل الأمد (LTS) إصلاحاً مُنقولاً
  • CVE-2026-109618: قد تقاطع معالجة نفاد الذاكرة عمل PHP بينما بيانات الطلب الداخلية مهيّأة جزئياً فقط، فتعاملها عملية تنظيف الطلب على أنها سليمة. تسجّل NVD تقييم CVSS 3.1 بقيمة 9.8 (حرج).
  • CVE-2026-109619: قد تبقى حالة داخلية تابعة للطلب بعد تحرير ذاكرتها، وقد يستخدمها طلب لاحق يعالجه العامل (worker) نفسه. تسجّل NVD تقييم CVSS 3.1 بقيمة 8.1 (عالٍ)، بينما يقيّمها PHP بصفته CNA بـ 9.2 (حرج) وفق CVSS 4.0، وهو التقييم نفسه الذي يمنحه للثغرة CVE-2026-109618.

هل يجري استغلالها؟

أضافت CISA الثغرتين إلى كتالوج KEV في 26 أكتوبر 2026 وحدّدت 29 أكتوبر 2026 موعداً نهائياً، وتصف استخدامها في حملات الفدية المعروفة بأنه "Unknown" (غير معروف). ويصف تنبيه PHP استغلالاً مُثبتاً ضد mod_php يكفي فيه طلب واحد دون مصادقة لإطلاق الهجوم قبل تنفيذ أي كود تطبيق. ولا يذكر أي من المصدرين جهة تهديد بالاسم.

ماذا تفعل الآن

  1. حدّث PHP إلى 8.5.12 أو 8.4.27 أو 8.3.36 أو 8.2.35 من php.net، أو ثبّت الحزمة المحدّثة من مزوّد توزيعة Linux أو الدعم طويل الأمد، إذ تلقّى هؤلاء الإصلاحات مسبقاً.
  2. إن كنت تستخدم PHP 8.1 أو أقدم، فاسأل مزوّدك عن إصلاح مُنقول أو انتقل إلى إصدار مدعوم. وقد وفّر مشروع PHP أيضاً نسخاً مُنقولة بسيطة من الشيفرة المصدرية لـ PHP 7.4 و8.0 و8.1.
  3. إن تعذّر التحديث الآن، يؤكد مشروع PHP أن التحديث وحده هو الحل الكامل، وأن الإجراءات التالية تقلّل التعرض لمسارات محددة دون أن تجعل التثبيت آمناً:
    • CVE-2026-109618: اضبط memory_limit=-1 بحيث لا تستطيع التطبيقات تجاوزه (مثلاً php_admin_value في مجمّع FPM أو إعدادات Apache)، واضبط post_max_size منخفضاً (8M بلا رفع ملفات، 32M معه) مع إبقاء upload_max_filesize أقل منه. وفكّر في وضع حدود لحجم الطلب وعدد الحقول وأجزاء multipart والترويسات وعمق التداخل على خادم الويب أو الوكيل. ولا تستخدم RLIMIT_AS أو RLIMIT_DATA.
    • CVE-2026-109619: اضبط session.upload_progress.enabled=0 في php.ini أو مجمّع FPM أو إعدادات الخادم (وليس عبر ini_set() أو .user.ini) ثم أعد تشغيل كل العمّال. وفي PHP 8.5 اضبط أيضاً fatal_error_backtraces=0.

وفي 23 أكتوبر 2026 نصح مشروع PHP كذلك بإبقاء session.upload_progress.enabled=0 حتى إصدار الإصلاحات الدوري التالي، احتياطاً من مسار آخر غير مرجّح لتنفيذ الأوامر عن بُعد (CVE-2026-115560).

كيف تتحقق من تأثرك

لا تنشر المصادر التي راجعناها مؤشرات اختراق (IoC). ويحيل مشروع PHP إلى تنبيهات GitHub الأمنية للتفاصيل التقنية، وتشير سجلّات CISA إلى متطلبات الفحص الجنائي الأولي (Forensics Triage Requirements). وكحدّ أدنى، تحقّق من إصدار PHP على كل خادم ويب وكل حاوية وكل تطبيق يضمّ PHP.

كيف يمكن للنظام الذكي المساعدة

تقدّم النظام الذكي خدمات الأمن السيبراني وتقييم الفجوات لمراجعة مدى تعرّضكم. ونوفّر مراقبة ودعماً على مدار الساعة؛ وهذه معلومة عن خدمتنا وليست تصريحاً بشأن هذه الثغرة.

المصادر

جاهز لترقية بنيتك التحتية؟

تواصل مع خبرائنا لمناقشة كيفية تطبيق هذه الاستراتيجيات على بيئتك الخاصة.

احجز استشارة