أصدر مشروع PHP في 21 أكتوبر 2026 الإصدارات 8.5.12 و8.4.27 و8.3.36 و8.2.35 لإصلاح ثغرتين حرجتين تتيحان تنفيذ أوامر عن بعد دون مصادقة، وقال في نشرته الأمنية إن على جميع المستخدمين التحديث فوراً.
وتعطي PHP كلاً من الثغرتين تقييم 9.2 على مقياس CVSS v4.0. الأولى، CVE-2026-109618، تنشأ من طريقة معالجة PHP لنفاد الذاكرة، إذ قد يقطع تنفيذ الطلب وبياناته الداخلية نصف مهيأة، فيعامل التنظيف اللاحق بيانات غير صالحة على أنها سليمة. وتقول نشرة الثغرة إن تنفيذ الأوامر الكامل أثبت عبر HTTP ضد mod_php بإعدادات الإدخال والذاكرة الافتراضية.
أما الثانية، CVE-2026-109619، فسببها حالة داخلية تخص الطلب تبقى بعد تحرير الذاكرة التي تستند إليها. وبحسب نشرتها، أكد استخدام الذاكرة بعد تحريرها (use-after-free) دون مصادقة، وكشف محتوى الذاكرة، وتنفيذ الأوامر، وثبت تنفيذ الأوامر عبر مسار تتبع الأخطاء القاتلة ضد mod_php.
وتقول PHP إن الخطر أعلى ما يكون على mod_php مع Apache، لكن كل تثبيت يخدم طلبات الويب معرض، ومنه PHP-FPM وphp-cgi وFrankenPHP وLiteSpeed.
ولا تعد PHP بحل مؤقت كامل. فهي تقول إن التحديث وحده يحل المشكلة، وإن ضبط memory_limit على -1، وتعطيل session.upload_progress.enabled، وضبط fatal_error_backtraces على 0 في PHP 8.5، تقلل التعرض لمسارات هجوم محددة دون أن تجعل التثبيت آمناً. ويلزم بعد تغيير الإعدادين الأخيرين إعادة تشغيل كل العمال. وتحذر من استخدام RLIMIT_AS وRLIMIT_DATA بديلين لحد الذاكرة، لأنهما قد يتسببان في فشل التخصيص الذي تستغله الثغرة.
وتذكر مؤسسة PHP Foundation أن باحثين من Wiz Research وOpenAI Codex Security وCalif أبلغوا عن الثغرتين. وتقول صفحة PHP2Shell البحثية إن الإصدارات المتأثرة تعود إلى PHP 5.4، وإن الباحثين أثبتوا تنفيذ الأوامر دون مصادقة ضد WordPress وDrupal وJoomla.
وتتباين الأنباء عن الاستغلال. قالت وكالة الأمن السيبراني وأمن البنية التحتية الأمريكية (CISA) في تنبيهها إنها لم ترصد استغلالاً للثغرتين حتى وقت النشر، ودعت إلى جرد كل الأنظمة التي تشغل PHP، بما فيها المضمنة في برمجيات أخرى، وتحديث الأنظمة المواجهة للإنترنت أولاً، وإيقاف ما لا يمكن تحديثه فوراً. وتقول مدونة المؤسسة إن فريق أمن PHP لم يجد استغلالاً وظيفياً في إثباتات المفهوم المتداولة وقت الإصدار، وإن فيديو لـ Calif يعرض إثبات مفهوم نشر عن طريق الخطأ ثم حذف أسهم في تسريع تطوير إثباتات مفهوم أخرى.
في المقابل قال المدير التقني في Cloudflare، Dane Knecht، في منشور على X إن شركته ترى هجمات مبكرة بدأت بالظهور، وإنها تحدث إجراءات الحماية كلما ظهرت مسارات جديدة، دون أن تنشر تفاصيل عن حجمها.
وقالت PHP إن توزيعات Linux ومزودي الدعم طويل الأمد تلقوا الإصلاحات مسبقاً، فعلى المستخدمين مراجعة مزودهم للحصول على الحزم المحدثة. أما PHP 8.1 وما قبلها فلم تعد تتلقى تحديثات من المشروع، وقدم فريق الأمن إصلاحات مصدرية محدودة للإصدارات 7.4 و8.0 و8.1 لمن يبنون من المصدر، بينما ينتهي دعم PHP 8.2 في 31 ديسمبر 2026.
