أدرجت وكالة الأمن السيبراني وأمن البنية التحتية الأمريكية (CISA) في 26 أكتوبر 2026 ثغرتين حرجتين في لغة PHP ضمن فهرس الثغرات المستغلة فعلياً (KEV). تتيح الثغرتان (CVE-2026-109618 بتقييم CVSS عند 9.2) و(CVE-2026-109619 بتقييم CVSS عند 9.2) تنفيذ أوامر عن بعد دون الحاجة إلى مصادقة مسبقة، وقد أصدر فريق التطوير التحديثات الأمنية لمعالجتهما في 21 أكتوبر 2026.
توضح النشرة الأمنية الأولى على منصة GitHub أن الثغرة الأولى تسمح بتنفيذ الأوامر عن بعد عبر إتلاف الذاكرة عند استنفادها. وتستخدم بيئة اللغة دالة longjmp() لمعالجة حالات استنفاد الذاكرة، ويؤدي حدوث هذا الاستنفاد أثناء التهيئة الجزئية لطلب ما إلى معالجة مرحلة الإنهاء لحالة غير صالحة. أثبتت الاختبارات نجاح الاستغلال ضد بيئة mod_php وفق الحدود الافتراضية وعمال prefork، ويرجح تحليل الشيفرة البرمجية تأثر بيئة PHP-FPM بالثغرة ذاتها دون تأكيد قاطع للاستغلال.
تشير النشرة الأمنية الثانية على منصة GitHub إلى أن الثغرة الأخرى تؤدي إلى تنفيذ الأوامر عن بعد نتيجة الاحتفاظ بحالة عامة قديمة. وتترك إحدى العمليات حالة تخص طلباً معيناً قابلة للوصول بعد تحرير ذاكرتها، لتتعامل عملية أخرى معها قبل إتمام التهيئة المعتادة لطلب لاحق. وقد تأكد وجود مسارين للاستغلال؛ يتمثل الأول في تتبع الأخطاء القاتلة ضمن إصدار PHP 8.5 عند تفعيل إعداد fatal_error_backtraces، بينما يكمن الثاني في تتبع تقدم رفع الملفات في الجلسات، وهو إعداد مفعل افتراضياً وأثبت قابليته للاستغلال ضد كل من mod_php وPHP-FPM معاً.
صنفت PHP الثغرتين بدرجة الخطورة 9.2 وفق معيار CVSS v4.0. وتتوفر المعالجة الجذرية في الإصدارات 8.5.12 و8.4.27 و8.3.36 و8.2.35، ويعد التحديث الإجراء الآمن الوحيد لغياب حلول التفافية كاملة. ينتهي الدعم الأمني لإصدار PHP 8.2 في 31 ديسمبر 2026، ورغم توقف التحديثات للإصدارات 8.1 وما قبلها، وفر المشروع تعديلات مصدرية (Backports) بالحد الأدنى للإصدارات 7.4 و8.0 و8.1. ويتضمن الإصدار التجريبي 8.6.0 RC4 هذه الإصلاحات التقنية أيضاً.
يقترح الفريق إجراءات مؤقتة ريثما يتم التحديث، تشمل ضبط إعداد session.upload_progress.enabled=0 وإعادة تشغيل كافة العمال، إضافة إلى ضبط إعداد fatal_error_backtraces=0 في إصدار PHP 8.5، مع التأكيد على أن هذه الخطوات لا تغطي كافة الحالات. وتتضمن الإجراءات الجزئية للثغرة الأولى إبقاء قيمة post_max_size متحفظة، وفرض قيود على حجم الطلب عند الواجهة الأمامية، وحجب طلبات multipart في حال عدم استخدامها من قبل التطبيق، ويبقى التحديث الشامل الحل الجذري والوحيد.
لم توثق النشرات الأصلية وقوع هجمات فعلية واكتفت بإثبات إمكانية تنفيذ الأوامر في بيئات الاختبار، غير أن إدراج وكالة CISA للثغرتين في الفهرس الرسمي يؤكد رصد استغلالهما عملياً. وتحيل صفحة التنبيه إلى التوجيه التشغيلي الملزم BOD 26-04 الموجه للوكالات الفيدرالية المدنية، دون تحديد مهلة زمنية في نص الإشعار.
أعلنت PHP في 26 أكتوبر 2026 إطلاق حزم محدثة لأنظمة Windows شملت الإصدارات 8.5.12-1 و8.4.27-1 و8.3.36-1 و8.2.35-1، والتي أعيد بناؤها باستخدام مكتبة Brotli 1.2.1. يعالج هذا التحديث ثغرة الكتابة خارج الحدود أثناء فك ضغط Brotli. ويمكن للمهاجمين استغلال هذه الثغرة في بيئات Windows عبر إضافة cURL عند تفعيل فك ضغط ردود HTTP تلقائياً، وهو إعداد معطل افتراضياً في cURL لكن التطبيقات ومكتبات العملاء قد تفعله.
