نشر مشروع PHP في 23 أكتوبر 2026 إشعاراً أعلن فيه عن ثغرة أمنية ثالثة تتيح تنفيذ الأوامر عن بعد، وتحمل المعرف (CVE-2026-115560 دون تقييم معلن لدرجة الخطورة)، مؤكداً أنها ستعالج ضمن دورة الإصدارات العادية ولن تحظى بتحديث طارئ.
وتتطلب الثغرة لاكتمال مسارها التقني اجتماع إعدادات وبرمجيات غير اعتيادية في التطبيق. ويشمل ذلك ضبط إعداد session.serialize_handler على php_binary أو php_serialize، ثم تغييره برمجياً وقت التشغيل إلى php عبر الدالة ini_set() قبل استدعاء session_start()، مع الإبقاء على ميزة تتبع تقدم الرفع في الجلسات فعالة. وترى PHP أن هذا المزيج التقني مستبعد عملياً، ما برر قرارها بمعالجته ضمن الجدول الزمني المعتاد.
وتقترح PHP تعطيل الإعداد عبر تمرير القيمة session.upload_progress.enabled=0 كحل مؤقت لتأمين حماية كاملة من هذا المسار حتى طرح الإصدار القادم. ويعد هذا الإجراء التطبيقي ذاته الذي أُدرج ضمن الحلول المؤقتة لنشرة الثغرة (CVE-2026-109619 بتقييم CVSS عند 9.2) الصادرة في 21 أكتوبر، ما يعني أن الأنظمة التي طبقت التوصية السابقة محصنة تلقائياً. في المقابل، يمكن للتطبيقات التي لا تعدل معالج التسلسل وقت التشغيل الإبقاء على الميزة دون تغيير.
وتشير نشرة الثغرة (CVE-2026-109619 بتقييم CVSS عند 9.2) إلى أن العمليات العاملة الدائمة في بيئة PHP قد تحتفظ بحالة عامة ترتبط بذاكرة طلبات سابقة. وفي حال تحرير هذه الذاكرة، يعاد استخدام الحالة القديمة قبل تهيئة الطلب التالي، ويمثل مسار معالجة تقدم الرفع في الجلسات أحد مسببات ذلك. ولم توضح PHP في إشعارها الأخير ما إذا كانت الثغرة الثالثة تشترك في الجذر التقني ذاته.
وتحدد النشرة الأمنية الصادرة في 21 أكتوبر منهجية تطبيق الحل المؤقت عبر تعديل ملف php.ini، أو إعدادات مجمع PHP-FPM، أو الخادم، لضمان سريان التعديل قبل معالجة الطلبات، محذرة من استخدام الدالة ini_set() أو ملف .user.ini الخاص ببيئة PHP-FPM، مع ضرورة إعادة تشغيل كافة العمليات العاملة. وتنبه النشرة إلى أن هذا التعديل يحد من مسارات الجلسات المؤكدة دون غيرها من المتغيرات.
ولم يتضمن إشعار PHP الأخير تقييماً لدرجة خطورة الثغرة الثالثة، أو تحديداً للإصدارات المتأثرة، أو رصداً لأي نشاط استغلالي. واكتفت بالإشارة إلى أن النشرة الأمنية الكاملة للمعرف (CVE-2026-115560 دون تقييم معلن لدرجة الخطورة) ستصدر بالتزامن مع التحديث القادم، دون تحديد جدول زمني دقيق.
وكانت PHP قد أطلقت في 21 أكتوبر الإصدارات 8.5.12 و8.4.27 و8.3.36 و8.2.35 لمعالجة ثغرتين حرجتين تحملان المعرفين (CVE-2026-109618 بتقييم CVSS عند 9.2) و(CVE-2026-109619 بتقييم CVSS عند 9.2). وأكدت أن المخاطر تطال كافة تثبيتات PHP المخصصة لخدمة طلبات الويب، بما يشمل بيئات PHP-FPM وApache مع إضافة mod_php وphp-cgi وFrankenPHP وLiteSpeed، مسجلة مستوى الخطورة الأعلى في بيئة mod_php.
وتفتقر الإصدارات PHP 8.1 وما قبلها للدعم الرسمي والتحديثات. ودفع ذلك الفريق الأمني لتوفير إصلاحات مصدرية مصغرة للإصدارات 7.4 و8.0 و8.1، مستهدفة الأنظمة التي تُبنى من المصدر البرمجي أو التي تفتقر لمورد يقدم دعماً طويل الأمد.
يذكر أن شركة Amazon رصدت عبر مصائدها الأمنية محاولات نشطة لاستغلال الثغرتين السابقتين في 17 أكتوبر، وتسبق بذلك موعد الإفصاح الرسمي بأربعة أيام.
