PHP2Shell: ثغرتان حرجتان في PHP تتيحان تنفيذ شيفرة على خوادم الويب دون مصادقة

في 21 أكتوبر 2026، أصدر مشروع PHP بشكل عاجل الإصدارات 8.5.12 و8.4.27 و8.3.36 و8.2.35 لسدّ الثغرتين CVE-2026-109618 وCVE-2026-109619، وهما خللان في الذاكرة يتيحان لمهاجم دون صلاحيات تنفيذ شيفرة عبر طلب HTTP معدّ خصيصًا. وأصدر CERT-FR تنبيهًا: يجب تحديث كل تثبيت PHP يخدم حركة الويب، بما في ذلك الفروع القديمة 7.x و8.0–8.1.

ماذا حدث

في 21 أكتوبر 2026 نشر مشروع PHP تحديثًا أمنيًا حرجًا، PHP 8.5.12 و8.4.27 و8.3.36 و8.2.35، يعالج ثغرتين لتنفيذ الشيفرة عن بُعد أُطلق عليهما اسم PHP2Shell، وتبلغ درجة كل منهما 9.2 وفق CVSS 4.0. وأصدر CERT-FR في اليوم نفسه التنبيه CERTFR-2026-ALE-014. تنشأ CVE-2026-109618 عن طريقة التعامل مع نفاد الذاكرة: قد يُقطع الطلب بينما بياناته الداخلية مهيأة جزئيًا فقط، ثم تستخدم مرحلة التنظيف هذه البيانات غير الصالحة. ومن طرق إطلاقها الطلبات متعددة الأجزاء (multipart) ذات الحجم المفرط. أما CVE-2026-109619 فهي استخدام لذاكرة محرَّرة: تبقى حالة خلّفها طلب ما داخل العملية العاملة ويعيد استخدامها طلب لاحق.

من المتأثر

بحسب php.net، تتأثر كل التثبيتات التي تخدم طلبات الويب: PHP-FPM وApache مع mod_php وphp-cgi وFrankenPHP وLiteSpeed. وتشير نشرات فريق PHP إلى أن تنفيذ الشيفرة الكامل دون مصادقة جرى التحقق منه على mod_php بإعداداته الافتراضية، وعلى FPM في حالة الثغرة الثانية. ويعدّ CERT-FR جميع الإصدارات 5.x و6.x و7.x و8.0 و8.1 معرّضة؛ وبصورة استثنائية نشر فريق PHP تصحيحات مصدرية مختصرة للفروع 7.4 و8.0 و8.1 التي لم تعد مدعومة. لم تُبلغ المصادر الرسمية عن استغلال فعلي وقت كتابة هذا المقال، لكن بحسب ZATAZ تتداول منتديات عروضًا توضيحية للهجوم. وتعمل WordPress وDrupal وJoomla والتطبيقات الداخلية كلها على PHP.

ماذا تفعل الآن

1. أحصِ إصدارات PHP على كل خادم وحاوية: php -v، وتحقّق من الإصدار الذي يستخدمه خادم الويب فعليًا (مجمع FPM، وحدة Apache).
2. حدّث إلى 8.2.35 أو 8.3.36 أو 8.4.27 أو 8.5.12، أو ثبّت الحزم المصححة من توزيعتك (apt update && apt upgrade، dnf upgrade 'php*')، ثم أعد تشغيل PHP-FPM أو Apache حتى لا تبقى أي عملية قديمة.
3. إن تعذّر التحديث اليوم: اضبط session.upload_progress.enabled = Off في ملف php.ini كما يوصي CERT-FR، واضبط fatal_error_backtraces على Off؛ ويحذّر فريق PHP من أن هذه الإعدادات لا تسدّ كل مسارات الهجوم.
4. على الإصدارات 7.4 إلى 8.1: طبّق فورًا التصحيحات المنقولة أو تصحيحات المورّد، وخطّط للانتقال إلى فرع مدعوم (ينتهي دعم 8.2 نفسه في 31 ديسمبر 2026).
5. راقب السجلات: انهيارات عمليات PHP وأخطاء نفاد الذاكرة والملفات غير المتوقعة في مجلدات الويب.

رأينا

يقف PHP خلف جزء كبير من مواقع الشركات، وغالبًا بإصدارات لا يتذكر أحد تثبيتها. تذكّر هذه الثغرات بضرورة جرد بيئات التشغيل لا التطبيقات وحدها، وبالتعامل مع فرع PHP منتهي الدعم كخطر يجب إزالته لا كإرث يجب تحمّله.

المصادر

• PHP — Critical security release: PHP 8.5.12, 8.4.27, 8.3.36 and 8.2.35
• CERT-FR — CERTFR-2026-ALE-014 : Multiples vulnérabilités dans PHP
• PHP (GitHub security advisory) — RCE via OOM corruption
• PHP (GitHub security advisory) — RCE via stale global state
• ZATAZ — PHP2Shell : deux failles critiques menacent les serveurs web

كيف نختار تحليلاتنا ونتحقق منها ونكتبها ←