أعلنت PHP أنها ستصدر تحديثاً أمنياً خارج الجدول المعتاد عند الساعة 14:00 بالتوقيت العالمي من يوم الحادي والعشرين من أكتوبر 2026، لمعالجة ثغرتين حرجتين صنّفهما فريقها الأمني بدرجة 9.2 وفق مقياس CVSS v4.0 دون أن يصفهما. وكُتب هذا الخبر قبل موعد الإصدار، وستؤكد النشرة الرسمية بعد صدوره الإصدارات المتأثرة والمصححة. وتقول شركة watchTowr إن الثغرتين تتيحان تنفيذ الشيفرة عن بُعد، وإن فروع PHP الأربعة المدعومة، من 8.2 إلى 8.5، هي وحدها القادرة على تلقي الإصلاح، ولم يُبلَّغ حتى الآن عن أي استغلال فعلي. وظهرت لاحقاً تحديثات تفيد بأن PHP أصدرت تصحيحات طارئة وبأن محاولات استغلال بدأت بالظهور.
كيف بدأ التسريب؟
سبق الإعلان تسريب، ففي العشرين من أكتوبر ذكر منشور على HN أن ثغرتين لتنفيذ الشيفرة عن بُعد في PHP، بدرجة 10.0 وتؤثران في الإصدارات منذ PHP 5، ستُعلنان يوم الخميس الثاني والعشرين من أكتوبر. وقال كاتب المنشور إنه لا يملك دليلاً يتجاوز عبارة “المصدر: صدقوني”. ثم نشرت watchTowr على منصة X أن المعلومات المسربة حقيقية، وأن الثغرتين خاضعتان لحظر نشر، وأن الجميع كان يفترض أن ينتظر حتى الخميس، وأنها لا تستطيع مشاركة المزيد حالياً.
ونشرت PHP إشعارها مساء اليوم نفسه عند 19:33 بالتوقيت العالمي، محددة الإصدار يوم الأربعاء، أي قبل الموعد الذي ذكرته watchTowr بيوم. ويشير الإشعار إلى أن PHP قد تصدر التحديث مبكراً إذا أصبحت تفاصيل أي من الثغرتين علنية أو ظهر دليل على استغلال نشط. وتضمّن التسريب وجود الثغرتين ودرجتهما وموعدهما ومعرّفين لهما، لا آلية عملهما. ودرجة 10.0 هي رقم التسريب، أما تقدير PHP فهو 9.2 على الإصدار الرابع من المقياس. وتتداول الأوساط البحثية المعرّفين CVE-2026-109618 وCVE-2026-109619 وقد وردا في المنشور المسرب، بينما لا يذكرهما إشعار PHP. كما أن القول بتأثر كل إصدار منذ PHP 5 غير مؤكد، إذ تقول الأسئلة الشائعة لدى watchTowr إن هذا النطاق لم يؤكده إشعار رسمي من المطوّر، وإن أي شرط يتعلق بالإعدادات أو الميزات لم يُوصف. وتقول PHP إن التفاصيل الكاملة والإصدارات المتأثرة والمصححة ستُنشر مع الإصدار، وبدأ الباحثون يسمّون الثغرتين php2shell، وهو اسم من عندهم لا من PHP.
الفروع القادرة على تلقي الإصلاح
مهما كان نطاق التأثر، تصدر PHP إصلاحاتها للفروع الأربعة المدعومة فقط. فالفرعان 8.2 و8.3 يتلقيان إصلاحات أمنية فقط، والفرعان 8.4 و8.5 في دعم نشط. وتتوقع عدة جهات تتابع الإصدارات، منها Alpine Linux والباحث الأمني كيفن بيمونت، أن تصدر الإصلاحات ضمن الإصدارات 8.5.12 و8.4.27 و8.3.36 و8.2.35، أي الإصدار الفرعي التالي لكل فرع، دون أن تؤكد PHP هذه الأرقام. أما ما هو أقدم، بما فيه 8.1 و8.0 وسلسلتا 7.x و5.x، فقد انتهى عمره ولا يتلقى أي إصلاح من PHP، وإذا طالت الثغرتان هذه الفروع فلن تجد التثبيتات عليها تصحيحاً من المطوّر.
وفيما يخص حالة الدعم، يبلغ الإصدار الحالي في الفرع 8.5 هو 8.5.11 وهو في دعم نشط حتى 31 ديسمبر 2027، والفرع 8.4 إصداره 8.4.26 في دعم نشط حتى 31 ديسمبر 2026، والفرع 8.3 إصداره 8.3.35 بإصلاحات أمنية فقط حتى 31 ديسمبر 2027، والفرع 8.2 إصداره 8.2.34 بإصلاحات أمنية فقط حتى 31 ديسمبر 2026. وأحصت شركة Mallory الأمنية نحو 884 ألف مضيف متصل بالإنترنت أبلغت لافتاته عبر HTTP إلى محرك Shodan عن إصدار PHP 8.1 أو أقدم في العشرين من أكتوبر، أي 59 في المئة من نحو 1.5 مليون مضيف أفصحت عن أي إصدار. ويغطي العدد اللافتات لا الأنظمة المؤكد تأثرها، وأبلغ 740 ألف مضيف إضافي عن وجود PHP دون ذكر الإصدار.
ما الذي يمكن فعله قبل صدور الإصلاح؟
لم تنشر PHP أي حل بديل مؤقت. وإلى أن يصدر التحديث تتلخص الاستعدادات في ست خطوات، معظمها مأخوذ من منشور استجابة سريعة لشركة Huntress، مع إضافة نصيحة العزل من CERT-EU. أولها جرد كل تثبيتات PHP، بما فيها المضمّنة في أجهزة الموردين وبرمجيات ويندوز ولوحات التحكم مثل cPanel وPlesk. وثانيها الاستعداد للترقية عند الساعة 14:00 بالتوقيت العالمي، مع البدء بالأنظمة المواجهة للإنترنت، وفحص توزيعة لينكس ومزود الاستضافة بحثاً عن حزم مصححة بالنقل الخلفي. وثالثها أنه عند استخدام فرع منتهي العمر ينبغي الترقية أو فصل النظام عن الإنترنت أو وضعه خلف VPN أو جدار حماية تطبيقات ويب إلى حين الترقية. ورابعها أنه حيث يتعذر الترقيع فوراً تنصح CERT-EU بالنظر في عزل التطبيقات المواجهة للإنترنت عن الشبكات العامة إلى أن يتوفر الإصلاح.
وخامسها مراقبة ما تطلقه PHP من عمليات، والتنبيه عند إطلاق php-fpm أو php-cgi أو httpd أو apache2 لأوامر شل أو مفسّرات أو أدوات تنزيل. وعلى خوادم لينكس التي لا تملك كشفاً على نقاط النهاية، تسجّل أداة المراقبة التي وضعها فلوريان روث كل برنامج تطلقه عملية PHP مع سطر أوامره، علماً بأنها ترى البرنامج بعد بدئه فقط، وبتعبير روث “لا تمنع شيئاً”. وسادسها أنه عند العثور على أي أثر ينبغي عزل الخادم والحفاظ على سجلات خادم الويب وPHP، والبحث عن أبواب خلفية من نوع web shell وملفات جديدة في جذر الويب ومهام cron وجداول المهام والحسابات الجديدة.
حالة الاستغلال حتى الآن
قالت Huntress إنها لم ترصد استغلالاً للثغرتين في بيئات شركائها حتى العشرين من أكتوبر، ولم تبنِ إثبات مفهوم أو تعيد إنتاجه، ولا علم لها بوجود شيفرة استغلال علنية. وتذكر الأسئلة الشائعة لدى watchTowr أنه لا استغلال مبلغاً عنه حتى الحادي والعشرين من أكتوبر وأن الثغرتين غير مدرجتين في كتالوج CISA للثغرات المستغلة. وللمقارنة، حين أصبحت الثغرة CVE-2024-4577 في PHP، وهي خلل في وضع CGI على ويندوز، علنية في يونيو 2024، رصدت Akamai محاولات استغلال ضد خوادمها الشَّرَك خلال 24 ساعة. ومن المتوقع أن يوضح الإصدار ما حجبه الإشعار: ما الإصدارات المتأثرة، وأي جزء من PHP معني، وهل يتطلب الهجوم طريقة تشغيل معينة أو إعدادات أو تسجيل دخول، وكيف تصف PHP نفسها الثغرتين. وعند كتابة الخبر لم تكن PHP قد أصدرت الإصلاحات.
